CRITICAL🇵🇱 Wersja polska

CVE-2026-42232

CVSS 9.4v4.0pub. 2026-05-04upd. 2026-05-06

n8n is an open source workflow automation platform. Prior to versions 1.123.32, 2.17.4, and 2.18.1, an authenticated user with permission to create or modify workflows could achieve global prototype pollution via the XML Node leading to RCE when combined with other nodes exploiting the prototype pollution. This issue has been patched in versions 1.123.32, 2.17.4, and 2.18.1.

CVSS Vector
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:L/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

  • N8n

    APP
    N8N
    2.18.0< 1.123.322.17.0 – 2.17.4 (bez)
🔵
CHECK WITH VENDOR
No clear patch data available. Check vendor references.
CWE
References

Related vulnerabilities

CVE-2025-68613CRITICAL9.9⚠ KEVPL ✓ten sam produkt

RCE w systemie ewaluacji wyrażeń n8n — krytyczna podatność

CVE-2026-44791CRITICAL9.4PL ✓ten sam produkt

RCE w n8n poprzez ominięcie łatki CVE-2026-42232 w węźle XML

CVE-2026-44789CRITICAL9.4PL ✓ten sam produkt

n8n: prototype pollution w HTTP Request node prowadzący do RCE

CVE-2026-44790CRITICAL9.4PL ✓ten sam produkt

Wstrzyknięcie flag CLI w węźle Git platformy n8n — odczyt dowolnych plików

CVE-2026-42231CRITICAL9.4PL ✓ten sam produkt

Prototype Pollution w n8n prowadzące do RCE przez webhook handler