🇰🇷 한글 설명
n8n 1.123.15 및 2.5.0 미만 버전의 GitHub Webhook Trigger 노드에서 HMAC-SHA256 서명 검증이 누락되어 웹훅 위조 취약점이 존재합니다. 공격자는 웹훅 URL을 알 경우 서명되지 않은 POST 요청을 보내 GitHub 이벤트를 사칭하고 임의의 데이터로 워크플로우를 실행할 수 있습니다.
💡 쉬운 설명
GitHub에서 보내는 신호가 진짜인지 확인하는 절차가 빠져 있어, 가짜 신호를 보내 시스템을 속일 수 있는 문제입니다. 공격자가 가짜 정보를 보내면 n8n이 이를 실제 GitHub의 명령으로 착각하고 잘못된 동작을 수행할 수 있습니다.
🇺🇸 원문 (English)
n8n before 1.123.15 and 2.5.0 contains a webhook forgery vulnerability in the GitHub Webhook Trigger node that fails to implement HMAC-SHA256 signature verification. Attackers who know the webhook URL can send unsigned POST requests to trigger workflows with arbitrary data, spoofing GitHub webhook events.
📍 영향받는 시스템
n8n versions before 1.123.15 and 2.5.0
⚔️ 공격 벡터
공격자가 웹훅 URL로 서명이 없는 조작된 POST 요청을 전송하여 워크플로우를 트리거함
🛡️ 대응 방법
n8n을 1.123.15 또는 2.5.0 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n 버전을 확인하여 1.123.15 또는 2.5.0 미만인지 체크합니다.
npm list -g n8n | grep n8n