🇰🇷 한글 설명
n8n의 Edit Fields (Set) 노드에서 프로토타입 오염 취약점이 발견되었습니다. 인증된 사용자가 특정 필드 이름을 조작하여 Node.js 프로세스의 전역 객체를 손상시킬 수 있으며, 이로 인해 모든 인증 요청이 실패하여 서비스 거부(DoS) 상태가 발생합니다.
💡 쉬운 설명
특정 설정을 조작하여 프로그램의 핵심 규칙을 망가뜨리는 공격입니다. 이 공격이 성공하면 서비스가 완전히 멈춰버려 모든 사용자가 접속할 수 없게 됩니다.
🇺🇸 원문 (English)
n8n before 1.123.67, 2.31.5, and 2.32.1 contains a prototype pollution vulnerability in the Edit Fields (Set) node. The node assigns output fields via a dot-notation path setter without restricting the field name, allowing an authenticated user to name a field after an inherited built-in method path and corrupt a shared global in the main Node.js process. Because that global is used on the request-authentication path, the instance then fails every authenticated request, causing an instance-wide denial of service for all users until the process is restarted.
📍 영향받는 시스템
n8n versions before 1.123.67, 2.31.5, and 2.32.1
⚔️ 공격 벡터
인증된 사용자가 Edit Fields (Set) 노드에서 점 표기법(dot-notation)을 이용한 필드 이름을 입력하여 전역 객체를 오염시킴
🛡️ 대응 방법
n8n을 최신 보안 패치가 적용된 버전(1.123.67, 2.31.5, 2.32.1 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n의 버전이 취약한 버전 범위에 포함되는지 확인하십시오.