🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼의 Git 노드에서 발생하는 취약점으로, setUpstream 함수가 브랜치 값을 검증 없이 저장하여 발생합니다. 인증된 워크플로우 편집자가 이를 악용하면 n8n 프로세스가 읽을 수 있는 로컬 저장소의 내용을 탈취할 수 있습니다.
💡 쉬운 설명
n8n 프로그램 내의 Git 기능에 허점이 있어, 공격자가 시스템 내부의 중요한 파일을 몰래 가져갈 수 있는 문제입니다. 권한이 있는 사용자가 설정값을 조작하여 서버의 다른 데이터를 훔쳐보는 방식입니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 1.123.76, 2.37.7, and 2.38.2, the Git node validated the repository parameter for fetch or pull, but setUpstream wrote a branch..remote value into repository configuration without validating it. A later fetch or pull resolved the remote from that configuration instead of the checked parameter. An authenticated workflow editor could therefore point Git at any local repository readable by the n8n process and receive its contents through packages/nodes-base/nodes/Git/GenericFunctions.ts. This issue is fixed in versions 1.123.76, 2.37.7 and 2.38.2.
📍 영향받는 시스템
n8n versions prior to 1.123.76, 2.37.7, and 2.38.2
⚔️ 공격 벡터
인증된 워크플로우 편집자가 Git 노드의 설정을 조작하여 로컬 저장소 경로를 지정하는 방식
🛡️ 대응 방법
n8n을 최신 버전(1.123.76, 2.37.7 또는 2.38.2 이상)으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n의 버전이 취약점이 해결된 버전(1.123.76, 2.37.7, 2.38.2 이상)인지 확인합니다.
npm list -g n8n | grep n8n