CVE-2026-72749
CVE-2026-72749 · n8n before 1.123.67 Prototype Pollution via Edit Fields
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
n8n before 1.123.67, 2.31.5, and 2.32.1 contains a prototype pollution vulnerability in the Edit Fields (Set) node. The node assigns output fields via a dot-notation path setter without restricting the field name, allowing an authenticated user to name a field after an inherited built-in method path and corrupt a shared global in the main Node.js process. Because that global is used on the request-authentication path, the instance then fails every authenticated request, causing an instance-wide denial of service for all users until the process is restarted.
CVSS 7.1 · Alta · EPSS 0,6% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
n8n
- Versiones
- ≥ 0, < 1.123.67: Afectada (semver)
- 1.123.67: No afectada (semver)
Actualiza a 1.123.67
n8n
- Versiones
- ≥ 0, < 2.32.1: Afectada (semver)
- 2.32.1: No afectada (semver)
Actualiza a 2.32.1
n8n
- Versiones
- ≥ 0, < 2.31.5: Afectada (semver)
- 2.31.5: No afectada (semver)
Actualiza a 2.31.5
n8n npm
- Intervalos de versiones afectados
- SEMVER: < 1.123.67
Actualiza a 1.123.67
n8n npm
- Intervalos de versiones afectados
- SEMVER: ≥ 2.32.0, < 2.32.1
Actualiza a 2.32.1
n8n npm
- Intervalos de versiones afectados
- SEMVER: ≥ 2.0.0-rc.0, < 2.31.5
Actualiza a 2.31.5