Penjelasan teknis
Dua kerentanan kritis mempengaruhi registrasi klien OAuth MCP (Model Context Protocol) dan manajemen sumber daya n8n. CVE-2026-42235: Penyerang yang tidak terautentikasi dapat mendaftarkan klien OAuth MCP berbahaya dengan client_name yang dirancang khusus. Jika pengguna korban mengotorisasi dialog persetujuan dan pengguna kedua kemudian mencabut akses, client_name berbahaya direfleksikan dalam alur pencabutan, memungkinkan serangan XSS atau open redirect. CVE-2026-42236: Titik akhir registrasi klien OAuth MCP menerima permintaan yang tidak terautentikasi dan menyimpan data klien tanpa kontrol sumber daya, memungkinkan penyerang jarak jauh menghabiskan memori atau penyimpanan server dengan mendaftarkan jumlah klien berbahaya yang tidak terbatas.
Vektor serangan
CVE-2026-42235: Penyerang mendaftarkan klien OAuth berbahaya dengan muatan XSS atau URL pengalihan terbuka yang tertanam dalam client_name. Ketika pengguna mencabut hibah OAuth, n8n mencerminkan client_name yang tidak disanitasi dalam UI pencabutan, memicu muatan dan berpotensi mengeksfiltrasikan token sesi atau mengarahkan pengguna ke situs phishing. CVE-2026-42236: Penyerang melakukan skrip registrasi massal klien OAuth melalui titik akhir yang tidak terautentikasi, membanjiri server dengan entri palsu hingga memori atau penyimpanan habis, menyebabkan penolakan layanan dan mencegah alur kerja OAuth yang sah berfungsi.
Sistem yang terdampak
Versi n8n sebelum 1.123.32, 2.17.4, dan 2.18.1. n8n adalah platform otomasi alur kerja sumber terbuka populer yang digunakan untuk mengorkestrasi agen AI, mengintegrasikan API, dan mengotomatisasi proses bisnis. Platform ini banyak digunakan di lingkungan perusahaan dan oleh pengembang yang membangun sistem AI beragent.
Mitigasi
Tingkatkan ke versi n8n 1.123.32, 2.17.4, atau 2.18.1 atau yang lebih baru. Segera audit semua registrasi klien OAuth MCP untuk nilai client_name yang mencurigakan atau tidak terbentuk dengan baik. Implementasikan pembatasan laju dan persyaratan autentikasi pada titik akhir /mcp-oauth/register jika peningkatan tidak segera memungkinkan. Organisasi yang menggunakan n8n untuk alur kerja AI beragent harus meninjau klien OAuth mana yang telah didaftarkan dan mencabut yang tampak tidak sah atau mencurigakan.