🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼에서 OIDC 인증이 비활성화된 상태에서도 로그인 및 콜백 엔드포인트가 인증을 완료하는 취약점이 발견되었습니다. 기업 관리자가 ID 제공자를 설정했다가 비활성화하더라도, 여전히 유효한 세션을 발행할 수 있는 경로가 남아 있어 보안 위협이 됩니다.
💡 쉬운 설명
로그인 기능을 꺼두었음에도 불구하고 특정 경로를 통해 로그인이 허용되는 보안 결함입니다. 관리자가 인증 방식을 변경하더라도 예전 설정이 남아 있어 누구나 접속할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 1.123.76, 2.37.7, and 2.38.2, the public OIDC login and callback endpoints completed authentication even when OIDC was not the enabled active authentication method. An Enterprise administrator who had configured and later disabled an identity provider still exposed a working route that could issue valid sessions. The affected logic is packages/cli/src/modules/sso-oidc/oidc.service.ee.ts, including generateLoginUrl and the callback flow that lacked assertOidcLoginEnabled. This issue is fixed in versions 1.123.76, 2.37.7 and 2.38.2.
📍 영향받는 시스템
n8n versions prior to 1.123.76, 2.37.7, and 2.38.2
⚔️ 공격 벡터
비활성화된 OIDC 인증 엔드포인트를 이용한 인증 우회 및 세션 탈취
🛡️ 대응 방법
n8n을 최신 보안 패치가 적용된 버전(1.123.76, 2.37.7, 2.38.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
n8n --version 2>/dev/null || npm list n8n | grep n8n