🇰🇷 한글 설명
n8n은 오픈소스 워크플로우 자동화 플랫폼입니다. 1.123.61, 2.27.4, 2.28.1 이전 버전에서는 공유 워크플로우에 사용 전용(use-only) 편집 권한을 가진 인증된 사용자가 HTTP Request 노드의 페이지네이션 표현식 내 $request 객체를 통해 자격 증명이 포함된 헤더를 읽고, 항목 데이터를 통해 시크릿을 유출할 수 있습니다. 해당 문제는 1.123.61, 2.27.4, 2.28.1 버전에서 수정되었습니다.
💡 쉬운 설명
n8n이라는 자동화 도구에서 제한된 권한을 가진 사용자가 공유된 작업 흐름을 통해 다른 사람의 로그인 정보(API 키 등)를 몰래 볼 수 있는 문제입니다. 해당 버전을 업데이트하면 이 문제가 해결됩니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 1.123.61, 2.27.4, and, 2.28.1, an authenticated member with use-only editor access to a shared workflow could read credential-populated headers exposed via the $request object inside an HTTP Request node's pagination expression and exfiltrate the secret through item data. This issue is fixed in versions 1.123.61, 2.27.4, and 2.28.1.
📍 영향받는 시스템
n8n 1.123.61 미만, 2.27.4 미만, 2.28.1 미만 버전
⚔️ 공격 벡터
인증된 사용자가 HTTP Request 노드의 페이지네이션 표현식에서 $request 객체로 자격 증명 헤더를 읽고 항목 데이터로 유출
🛡️ 대응 방법
n8n을 1.123.61, 2.27.4, 2.28.1 이상 버전으로 업데이트하고, 노출 가능성이 있던 API 키 등 자격 증명을 교체
🔧 검증 코드
출력된 버전이 1.123.61 이상(1.x 계열) 또는 2.27.4 이상(2.27.x)이거나 2.28.1 이상이면 패치 적용됨, 그보다 낮으면 취약함
npm ls n8n 2>/dev/null | grep n8n@