🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼에서 권한이 없는 사용자에게도 모든 활성 워크플로우 ID를 노출하는 취약점이 발견되었습니다. 또한 워크플로우의 활성화, 비활성화 및 게시 이벤트가 권한이 없는 클라이언트에 브로드캐스트되어 ID, 버전 및 오류 세부 정보가 유출될 수 있습니다.
💡 쉬운 설명
n8n을 사용하는 사람이 자신이 볼 권한이 없는 다른 사람의 작업 목록과 상세 정보를 몰래 훔쳐볼 수 있는 문제입니다. 이로 인해 내부 작업의 구조나 버전 정보가 외부로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 1.123.76, 2.37.7, and 2.38.2, the /rest/active-workflows endpoint returned every active workflow ID on the instance to any member regardless of sharing. Workflow activation, deactivation, and publication push events were also broadcast to clients that could not access the affected workflow, disclosing workflow IDs, version IDs, and activation error details. The affected paths include packages/cli/src/services/active-workflows.service.ts and packages/cli/src/workflows/workflow-push-notifier.service.ts. This issue is fixed in versions 1.123.76, 2.37.7 and 2.38.2.
📍 영향받는 시스템
n8n versions prior to 1.123.76, 2.37.7, and 2.38.2
⚔️ 공격 벡터
권한이 낮은 사용자가 특정 API 엔드포인트(/rest/active-workflows)에 접근하거나 실시간 이벤트 브로드캐스트를 가로채는 방식
🛡️ 대응 방법
n8n을 최신 보안 패치 버전인 1.123.76, 2.37.7 또는 2.38.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
npm list -g n8n --depth=0 | grep n8n