Apa yang terjadi
Keduanya diterbitkan 2026-10-14 melalui gelombang advisory n8n 30-September dan diverifikasi melalui NVD REST. CVE-2026-110841 (CVSS 6.1 v4.0, CWE-639) adalah bypass otorisasi bergaya IDOR pada jalur lanjutkan obrolan-agen / persetujuan alat: pembajakan lintas pengguna atas persetujuan alat agen yang tertunda milik anggota lain. CVE-2026-110852 (CVSS 6.3) adalah bug resolusi webhook berbasis-path saja yang memungkinkan pemanggil tanpa autentikasi memicu eksekusi workflow lintas proyek. Gelombang n8n juga mencakup celah validasi ID kredensial pada parameter node Agent (CVE-2026-110850) dan celah pemeriksaan kepemilikan proyek pada endpoint pembuatan Agents (CVE-2026-110851).
Mengapa penting
Ini adalah kegagalan isolasi multi-tenant pada permukaan agen AI dari platform otomasi yang digunakan luas: sesi agen, persetujuan alat tertunda, dan kredensial satu tenant dapat dijangkau/dipicu oleh anggota proyek lain atau oleh pemanggil webhook tanpa autentikasi, merusak pemisahan yang menjadi sandaran deploy n8m multi-tim.
Vektor serangan
(1) CVE-2026-110841: endpoint lanjutkan obrolan-agen menerima pengenal run dari body permintaan tanpa memverifikasi bahwa checkpoint yang ditangguhkan milik pemanggil — anggota proyek terautentikasi dapat membaca percakapan agen pribadi anggota lain dan menyetujui panggilan alat mereka yang tertunda, membuat alat dieksekusi dan menulis hasil ke percakapan korban. (2) CVE-2026-110852: resolusi webhook jalur dinamis cocok berdasarkan path saja, mengabaikan pengenal yang dihasilkan server, sehingga pemanggil tanpa autentikasi dapat menjalankan workflow di proyek yang tidak terkait dengan kredensial proyek tersebut.
Sistem yang terdampak
n8n < 2.41.4, 2.42.x < 2.42.1 (masalah webhook juga mempengaruhi 1.x < 1.123.83)
Mitigasi
Tingkatkan ke n8n 2.41.4+ / 2.42.1+ (1.123.83+). Untuk webhook: aktifkan autentikasi webhook tingkat node (Basic/Header/JWT) pada node Webhook jalur dinamis, atau batasi rute /webhook/*, /form/* dan /mcp/* di lapisan jaringan. Advisory: GHSA-p3pg-xw4f-m72c dan GHSA-4c7j-qff5-r9cx.