CVE-2026-65597
CVE-2026-65597 · n8n before 1.123.64 DOM-Based XSS via Unsandboxed iframe
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
n8n before 1.123.64, 2.x before 2.29.8, and before 2.30.1 contains a DOM-based cross-site scripting vulnerability in the HTML preview, which renders execution output into an iframe srcdoc without the sandbox attribute. A sanitizer bypass allows injected script to execute same-origin as the editor. When a victim opens the preview, the script can call authenticated APIs using the victim's session. An account with global:member privileges can exploit the issue.
CVSS 8.2 · Alta · EPSS 0,3% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
n8n
- Versiones
- ≥ 0, < 1.123.64: Afectada (semver)
- 1.123.64: No afectada (semver)
Actualiza a 1.123.64
n8n
- Versiones
- ≥ 0, < 2.30.1: Afectada (semver)
- 2.30.1: No afectada (semver)
Actualiza a 2.30.1
n8n
- Versiones
- ≥ 0, < 2.29.8: Afectada (semver)
- 2.29.8: No afectada (semver)
Actualiza a 2.29.8
n8n npm
- Intervalos de versiones afectados
- SEMVER: < 1.123.64
Actualiza a 1.123.64
n8n npm
- Intervalos de versiones afectados
- SEMVER: ≥ 2.30.0, < 2.30.1
Actualiza a 2.30.1
n8n npm
- Intervalos de versiones afectados
- SEMVER: ≥ 2.0.0-rc.0, < 2.29.8
Actualiza a 2.29.8