🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼의 GitHub 트리거에서 발생하는 취약점입니다. GitHub이 HTTP 422 오류를 반환할 때 생성된 웹훅 비밀번호(webhook secret)가 유실되어, X-Hub-Signature-256 검증 과정에서 비밀번호 없이도 전달된 데이터를 수락하게 됩니다. 이 문제는 1.123.76, 2.37.7, 2.38.2 버전에서 수정되었습니다.
💡 쉬운 설명
GitHub에서 보내는 신호가 진짜인지 확인하는 '비밀번호'가 중간에 사라지는 버그가 발견되었습니다. 이로 인해 공격자가 가짜 신호를 보내도 시스템이 이를 진짜로 착각하고 실행할 위험이 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 1.123.76, 2.37.7, and 2.38.2, the GitHub Trigger generated a webhook secret but discarded it when GitHub returned HTTP 422 and the node reused an existing webhook. Workflow static data then retained webhookId without webhookSecret, and X-Hub-Signature-256 verification accepted deliveries without a stored secret. The affected logic includes packages/nodes-base/nodes/Github/GithubTriggerHelpers.ts and the 422 webhook reuse path. This issue is fixed in versions 1.123.76, 2.37.7 and 2.38.2.
📍 영향받는 시스템
n8n versions prior to 1.123.76, 2.37.7, and 2.38.2
⚔️ 공격 벡터
검증되지 않은 웹훅 페이로드를 전송하여 인증 과정을 우회하고 워크플로우를 트리거함
🛡️ 대응 방법
n8n을 최신 보안 패치 버전(1.123.76, 2.37.7, 2.38.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n 버전을 확인하여 취약점이 해결된 버전(1.123.76, 2.37.7, 2.38.2 이상)인지 대조하십시오.
npm list -g n8n | grep n8n