🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼의 Instance AI 자격 증명 설정 과정에서 발생하는 취약점입니다. 사용자가 설정 흐름에 URL을 입력할 때 해당 URL이 워크플로우 노드의 출처와 일치하는지 검증하지 않아, 공격자가 제어하는 콘텐츠를 통해 인증된 요청이나 리다이렉트를 다른 출처로 유도할 수 있습니다.
💡 쉬운 설명
자동화 도구 설정 중에 검증되지 않은 주소를 입력하면, 해커가 사용자의 권한을 이용해 엉뚱한 사이트로 정보를 보내거나 공격을 시도할 수 있는 문제입니다. 사용자가 의도하지 않은 곳으로 인증 정보가 전달될 위험이 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 2.37.7 and 2.38.2, the Instance AI credential setup flow accepted a credential test or verification URL without checking that it matched the workflow node's origin. Attacker-controlled fetched content could influence that URL after a user injected it into the setup flow, causing authenticated requests, redirects, or probes to reach another origin. The affected logic includes packages/@n8n/instance-ai/src/tools/workflows/credential-utils.ts and the extractServiceOrigin origin derivation. This issue is fixed in versions 2.37.7 and 2.38.2.
📍 영향받는 시스템
n8n versions prior to 2.37.7 and 2.38.2
⚔️ 공격 벡터
자격 증명 테스트/검증 URL 입력 시 출처 검증 미흡을 이용한 SSRF 또는 리다이렉션 공격
🛡️ 대응 방법
n8n 버전을 2.37.7 또는 2.38.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n의 버전이 2.37.7 또는 2.38.2보다 낮은지 확인하십시오.
npm list -g n8n --depth=0 | grep n8n