🇰🇷 한글 설명
n8n은 오픈소스 워크플로우 자동화 플랫폼입니다. 2.25.7 및 2.26.2 이전 버전에서 MicrosoftAgent365Trigger 및 StripeTrigger 노드가 수신 요청을 검증하지 않았습니다. 이로 인해 웹훅 URL을 아는 인증되지 않은 공격자가 위조된 페이로드를 전송하여 공격자가 조작한 데이터로 워크플로우를 실행시킬 수 있었습니다. 이 취약점은 2.25.7 및 2.26.2에서 수정되었습니다.
💡 쉬운 설명
n8n이라는 자동화 도구에서 외부인이 가짜 신호를 보내 자동화 작업을 몰래 실행시킬 수 있는 문제입니다. 업데이트를 하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 2.25.7 and 2.26.2, the MicrosoftAgent365Trigger and StripeTrigger node did not validate that inbound requests. As a result, an unauthenticated attacker who knows the webhook URL could submit a forged payload and cause the workflow to execute with attacker-controlled data. This vulnerability is fixed in 2.25.7 and 2.26.2.
📍 영향받는 시스템
n8n 2.25.7 미만 및 2.26.2 미만 버전 (MicrosoftAgent365Trigger, StripeTrigger 노드 사용 환경)
⚔️ 공격 벡터
웹훅 URL을 알고 있는 공격자가 서명 검증 없이 위조된 페이로드를 HTTP 요청으로 전송하여 워크플로우를 실행
🛡️ 대응 방법
n8n을 2.25.7 이상 또는 2.26.2 이상 버전으로 업데이트하고, 웹훅 URL을 외부에 노출되지 않도록 관리
🔧 검증 코드
출력된 버전 번호가 2.25.7 또는 2.26.2 이상이면 취약하지 않고, 그보다 낮으면 취약하므로 업데이트가 필요합니다.
npm list -g n8n 2>/dev/null | grep n8n@