🇰🇷 한글 설명
n8n은 오픈소스 워크플로우 자동화 플랫폼입니다. 1.123.55, 2.25.7, 2.26.2 이전 버전에서는 공유 워크플로우에 편집자(Editor) 권한이 부여된 멤버 레벨 사용자가 특정 공개 API 엔드포인트를 통해 자신이 소유하지 않은 자격 증명을 참조할 수 있습니다. 자격 증명 소유권 검사가 부분적으로만 적용되어 사용자 간 자격 증명 접근이 가능해집니다. 워크플로우 공유 기능이 활성화되어 있고 최소 하나의 워크플로우가 멤버 사용자에게 편집자로 공유된 인스턴스가 영향을 받습니다.
💡 쉬운 설명
권한이 있는 일반 사용자가 다른 사용자의 로그인 정보(API 키, 비밀번호 등)를 몰래 가져다 쓸 수 있는 취약점입니다. 워크플로우를 공유받은 사용자라면 누구든 다른 사람의 계정 정보에 접근할 수 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 1.123.55, 2.25.7, and 2.26.2, a member-level user with editor access to a shared workflow could reference credentials they do not own via specific public API endpoints. Credential ownership checks were only enforced partially leading to cross-user credential access. This issue affects instances where workflow sharing is enabled and at least one workflow has been shared with a member-level user as an Editor. This vulnerability is fixed in 1.123.55, 2.25.7, and 2.26.2.
📍 영향받는 시스템
n8n 1.123.55 미만, 2.25.7 미만, 2.26.2 미만 버전 (워크플로우 공유 기능 사용 시)
⚔️ 공격 벡터
편집자 권한을 가진 인증된 멤버 사용자가 특정 공개 API 엔드포인트를 호출해 소유하지 않은 자격 증명을 워크플로우에서 참조
🛡️ 대응 방법
n8n을 1.123.55, 2.25.7, 2.26.2 이상 버전으로 업데이트하고, 필요시 워크플로우 공유 설정 및 저장된 자격 증명을 점검하며 의심스러운 접근 로그를 확인
🔧 검증 코드
출력된 버전이 1.123.55 이상(1.x 라인) 또는 2.25.7/2.26.2 이상(2.x 라인)이면 패치된 것이며, 그보다 낮으면 취약한 버전으로 즉시 업데이트가 필요합니다.
n8n --version 2>/dev/null || docker exec $(docker ps -qf ancestor=n8nio/n8n) n8n --version 2>/dev/null