CVE-2026-103249: stored DOM XSS в n8n через Resource Locator
В n8n обнаружена stored DOM XSS-уязвимость (CVE-2026-103249) в обработке ссылок выпадающего списка параметра Resource Locator. Атакующий с правами автора воркфлоу может внедрить вредоносный URL, который выполнит произвольный JavaScript в браузере других пользователей при клике по иконке внешней ссылки. Проблема затрагивает версии до 1.123.80, 2.0.0–2.39.5 и 2.40.0; CVSS 6.9 (MEDIUM), исправления уже доступны.
Подробности
Уязвимость затрагивает продукт n8n от n8n-io в следующих версиях: - до 1.123.80; - от 2.0.0 до 2.39.6 (не включая 2.39.6); - от 2.40.0 до 2.40.1 (не включая 2.40.1). Суть проблемы — некорректная обработка ссылок в выпадающем списке параметра Resource Locator. Автор воркфлоу может внедрить вредоносный скриптовый URL, который исполняет произвольный JavaScript в origin редактора, когда другой пользователь открывает выпадающий список узла и нажимает на иконку внешней ссылки. Ключевая особенность — полезная нагрузка сохраняется и распространяется вместе с воркфлоу: она переживает импорт и передачу (share) между пользователями, то есть срабатывает не только у исходного автора, но и у всех, кто получит этот воркфлоу. Уязвимости присвоен базовый балл CVSS 6.9, что соответствует уровню MEDIUM. Такой вектор требует определённого взаимодействия со стороны пользователя (клик по иконке внешней ссылки) и наличия прав на создание или распространение воркфлоу у атакующего, однако последствия могут быть серьёзными: выполнение JavaScript в контексте редактора n8n открывает возможности для кражи данных сессии, манипуляций с интерфейсом и доступа к чувствительным параметрам подключений.Что делать
Разработчики выпустили исправления. Первоочередная рекомендация — обновиться до актуальных версий: - ветка 1.x — до 1.123.80 или выше; - ветка 2.x — до 2.39.6 или выше (если вы на 2.0.0–2.39.5); - для 2.40.x — до 2.40.1 или выше. Если немедленное обновление невозможно, рекомендуется: - ограничить круг пользователей, имеющих права на создание и импорт воркфлоу, доверенными сотрудниками; - не открывать воркфлоу из недоверенных источников и предупредить пользователей о риске клика по иконкам внешних ссылок в параметрах Resource Locator; - провести проверку существующих воркфлоу на наличие подозрительных URL в параметрах Resource Locator и удалить их; - использовать сегментацию доступа и мониторинг аномальной активности в редакторе. Итог: CVE-2026-103249 — это хранимая DOM XSS, которая распространяется вместе с воркфлоу и требует лишь клика пользователя по иконке внешней ссылки. Учитывая средний уровень критичности и наличие готовых патчей, оптимальная стратегия — как можно быстрее обновить n8n до версий 1.123.80, 2.39.6 или 2.40.1, а до этого ограничить импорт воркфлоу из недоверенных источников.Источник: CVE Project (cvelistV5)