CVE-2026-65593

5.4 Moyenne

Publiée le 22/07/2026 à 14:18 · Modifiée le 27/07/2026 à 21:12 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

n8n versions before 1.123.64, 2.29.8, and 2.30.1 contain a server-side request forgery vulnerability in the dynamic-node-parameters endpoints that lack authorization scopes. Authenticated attackers can supply absolute URLs in routing configuration to override baseURL restrictions and make the n8n server issue HTTP requests to arbitrary internal targets when SSRF protection is disabled.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	6.3 Moyenne	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:N/SC:H/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	5.4 Moyenne	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N`

Faiblesses (CWE)

CWE-918

Références

https://github.com/n8n-io/n8n/security/advisories/GHSA-9w78-79q7-r4fp MitigationVendor Advisory
https://www.vulncheck.com/advisories/n8n-before-ssrf-via-dynamic-node-parameters Third Party Advisory

CVE-2026-65593

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs