🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼에서 인스턴스 AI 워크플로우 요약 기능이 노드 이름과 연결 키를 처리할 때 발생하는 프로토타입 오염 취약점입니다. REST API를 통해 조작된 워크플로우를 제출하면 Object.prototype에 중첩된 쓰기가 발생하여 메인 프로세스를 방해할 수 있습니다.
💡 쉬운 설명
악의적인 사용자가 특수하게 조작된 워크플로우를 업로드하여 프로그램의 핵심 구조를 망가뜨릴 수 있는 문제입니다. 이로 인해 서비스가 불안정해지거나 다른 요청 처리에 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 2.37.7 and 2.38.2, the Instance AI workflow summary used node names and connection keys from stored workflows as ordinary object keys. A workflow submitted through the REST API could contain __proto__ or constructor, causing nested writes to reach Object.prototype in the main n8n process and disrupt later requests. The affected function is summarizeWorkflowStructure in packages/@n8n/instance-ai/src/tools/workflows/summarize-workflow.ts. This issue is fixed in versions 2.37.7 and 2.38.2.
📍 영향받는 시스템
n8n versions prior to 2.37.7 and 2.38.2
⚔️ 공격 벡터
REST API를 통해 __proto__ 또는 constructor가 포함된 악성 워크플로우를 제출하여 프로토타입 오염 유도
🛡️ 대응 방법
n8n을 버전 2.37.7 또는 2.38.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n 버전을 확인하여 2.37.7 또는 2.38.2 미만인지 체크합니다.
npm list -g n8n --depth=0 | grep n8n