🇰🇷 한글 설명
n8n 워크플로우 자동화 플랫폼에서 에이전트에 도구로 연결된 워크플로우의 접근 제어 설정이 제대로 적용되지 않는 취약점이 발견되었습니다. 이로 인해 에이전트를 생성할 수 있는 사용자가 제한된 워크플로우를 호출하고 그 결과 데이터를 읽을 수 있습니다.
💡 쉬운 설명
자동화 도구인 n8n에서 특정 규칙을 무시하고 허가되지 않은 작업 내용을 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 에이전트를 만드는 사용자가 원래는 접근하면 안 되는 중요한 정보가 담긴 워크플로우를 실행할 수 있는 문제입니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 2.37.7 and 2.38.2, the workflow setting named This workflow can be called by was enforced by the Execute Workflow node but not when a workflow was attached to an Agent as a tool. A user able to build an Agent could invoke a restricted workflow and read its returned data. The affected path is packages/cli/src/modules/agents/tools/workflow-tool-factory.ts, where executeWorkflow omitted SubworkflowPolicyChecker.checkForProject. This issue is fixed in versions 2.37.7 and 2.38.2.
📍 영향받는 시스템
n8n versions prior to 2.37.7 and 2.38.2
⚔️ 공격 벡터
에이전트를 생성할 수 있는 권한을 가진 사용자가 제한된 워크플로우를 에이전트의 도구로 연결하여 호출함
🛡️ 대응 방법
n8n을 버전 2.37.7 또는 2.38.2 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 n8n의 버전이 2.37.7 또는 2.38.2보다 낮은지 확인하십시오.
npm list -g n8n | grep n8n