0xblackash/cve-2026-25049CVE-2026-25049
यह भेद्यता कुछ n8n तैनातियों में एक REST API एंडपॉइंट के माध्यम से आंतरिक कॉन्फ़िगरेशन डेटा तक अप्रमाणित पहुँच की अनुमति देती है।
असुरक्षित कॉन्फ़िगरेशन में, निम्नलिखित एंडपॉइंट बिना प्रमाणीकरण के सुलभ है:
GET /rest/settings
public)यह एंडपॉइंट सामान्यतः प्रमाणित उपयोगकर्ताओं तक सीमित होना चाहिए, लेकिन गलत कॉन्फ़िगरेशन या असुरक्षित संस्करण इसे सार्वजनिक रूप से उजागर कर सकते हैं।
हालांकि यह सीधे पूर्ण सिस्टम समझौता नहीं करता, यह भेद्यता निम्नलिखित कर सकती है:
💡 सीमित जानकारी का प्रकटीकरण भी समग्र सुरक्षा स्थिति को काफी कमजोर कर सकता है।
n8n v1.123.5⚠️ हमेशा आधिकारिक सलाह और परिवर्तन लॉग के विरुद्ध सत्यापित करें।
भेद्यता सत्यापित करने के लिए:
एक अनुरोध भेजें:
/rest/settings
प्रतिक्रिया व्यवहार का निरीक्षण करें।
401 Unauthorized200 OKअपने n8n इंस्टेंस को सुरक्षित करने के लिए:
5678 तक पहुँच प्रतिबंधित करें (VPN, फ़ायरवॉल, IP अनुमति सूची)| कारक | मूल्यांकन |
|---|---|
| हमले की जटिलता | निम्न |
| आवश्यक विशेषाधिकार | कोई नहीं |
| उपयोगकर्ता सहभागिता | कोई नहीं |
| प्रभाव का दायरा |
⚠️ यह प्रोजेक्ट केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए है। बिना स्पष्ट अनुमति के सिस्टम का परीक्षण या स्कैन न करें।
यदि यह उपयोगी लगे:
| आंशिक (सूचना लीक) |
| शोषण क्षमता | उच्च (यदि उजागर) |