🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼의 Meta 및 Microsoft Teams 트리거 노드에서 발생하는 취약점입니다. 2.24.0 미만 버전에서는 쿼리 매개변수가 적절한 검증이나 CSP 헤더 없이 HTTP 응답에 그대로 반영되어, 로그인된 사용자가 악성 URL을 방문할 경우 반사형 XSS 공격이 가능합니다.
💡 쉬운 설명
해커가 만든 특수한 링크를 클릭하면 사용자의 브라우저에서 악성 코드가 실행될 수 있는 보안 약점입니다. 이로 인해 사용자의 로그인 정보가 탈취되거나 원치 않는 동작이 수행될 수 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 2.24.0, an endpoint in the Meta and Microsoft Teams trigger nodes reflects a query parameter into the HTTP response without sanitization or Content-Security-Policy headers, enabling reflected XSS in the n8n origin when a logged-in user visits a crafted URL. This vulnerability is fixed in 2.24.0.
📍 영향받는 시스템
n8n 버전 2.24.0 미만 (Meta 및 Microsoft Teams 트리거 노드 사용 시)
⚔️ 공격 벡터
조작된 URL을 통해 악성 스크립트가 포함된 쿼리 매개변수를 전달하여 사용자 브라우저에서 실행시키는 방식
🛡️ 대응 방법
n8n을 최신 버전인 2.24.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n 버전이 2.24.0보다 낮은지 확인하십시오.
n8n --version 2>/dev/null || npm list n8n | grep n8n