🇰🇷 한글 설명
n8n 2.20.0 미만 버전의 POST /rest/dynamic-node-parameters/options 엔드포인트에서 인증된 사용자가 허용된 HTTP 요청 도메인 제한을 우회할 수 있는 자격 증명 탈취 취약점이 발견되었습니다. 공격자는 권한을 가진 상태에서 n8n 서버가 승인되지 않은 호스트로 자격 증명을 포함한 HTTP 요청을 보내도록 유도하여 민감한 인증 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
n8n 서비스에 로그인할 수 있는 사용자가 보안 설정을 속여서, 서버에 저장된 비밀번호나 인증 정보를 외부의 나쁜 사이트로 몰래 전송하게 만들 수 있는 문제입니다. 이를 통해 중요한 계정 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
n8n before 2.20.0 contains a credential exfiltration vulnerability in the POST /rest/dynamic-node-parameters/options endpoint that allows authenticated users to bypass Allowed HTTP Request Domains restrictions. Attackers with credential access can cause the n8n server to issue HTTP requests with credentials to unauthorized hosts, exfiltrating sensitive authentication data.
📍 영향받는 시스템
n8n version < 2.20.0
⚔️ 공격 벡터
인증된 사용자가 특정 API 엔드포인트를 통해 도메인 제한을 우회하여 외부 호스트로 자격 증명을 포함한 요청을 전송
🛡️ 대응 방법
n8n 버전을 2.20.0 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 n8n의 버전이 2.20.0 미만인지 확인하십시오.
npm list -g n8n --depth=0 | grep n8n