CVE-2026-56358
CVE-2026-56358 · n8n - Stored Cross-Site Scripting in Form Trigger Node
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
n8n before 1.123.25 (1.x) and before 2.11.2 (2.x), with the fix also included in 2.12.0, contains a stored cross-site scripting vulnerability in the Form Trigger node's CSS sanitization that allows authenticated users to inject malicious scripts. Attackers with workflow creation permissions can inject XSS payloads that execute persistently for all form visitors, enabling form hijacking and phishing attacks.
CVSS 5.1 · Mittel · EPSS 0,2% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
n8n
- Softwareversionen
- ≥ 0, < 1.123.25: Betroffen (semver)
- 1.123.25: Nicht betroffen (semver)
- ≥ 2.0.0-rc.0, < 2.11.2: Betroffen (semver)
- 2.11.2: Nicht betroffen (semver)
Auf 1.123.25 aktualisieren; Auf 2.11.2 aktualisieren
n8n
- Softwareversionen
- ≥ 0, < 2.11.2: Betroffen (semver)
- 2.11.2: Nicht betroffen (semver)
Auf 2.11.2 aktualisieren
n8n
- Softwareversionen
- ≥ 0, < 1.123.25: Betroffen (semver)
- 1.123.25: Nicht betroffen (semver)
Auf 1.123.25 aktualisieren
n8n npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 2.0.0-rc.0, < 2.11.2
Auf 2.11.2 aktualisieren
n8n npm
- Betroffene Versionsbereiche
- SEMVER: < 1.123.25
Auf 1.123.25 aktualisieren