PT-2026-36906 · N8N · N8N

Ori-Ron · Publicado 2026-04-22 · Atualizado 2026-05-13 · CVE-2026-42236

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 1.123.32 n8n versões anteriores a 2.17.4 n8n versões anteriores a 2.18.1

Description O endpoint de registro de cliente MCP OAuth aceita solicitações não autenticadas e armazena dados de clientes sem controles de recursos adequados. Um invasor remoto pode esgotar os recursos de memória do servidor enviando payloads de registro volumosos, resultando em uma negação de serviço que torna a instância indisponível. O endpoint permanece acessível mesmo que a alternância de habilitar/desabilitar MCP seja usada para restringir o acesso.

Recommendations Atualize para a versão 1.123.32. Atualize para a versão 2.17.4. Atualize para a versão 2.18.1.

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

BDU:2026-06924

CVE-2026-42236

GHSA-49M9-PGWW-9VQ6

Produtos afetados

N8N

Referências · 12

• https://github.com/n8n-io/n8n · Nota
• https://github.com/n8n-io/n8n/security/advisories/GHSA-49m9-pgww-9vq6 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42236 · Nota de Segurança
• https://twitter.com/SelvaKtm2/status/2052078361242218753 · Publicação no Twitter
• https://t.me/CVEtracker/52663 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-49m9-pgww-9vq6 · Aviso do Fabricante
• https://t.me/true_secator/8200 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2026-06924 · Nota de Segurança
• https://twitter.com/CVEnew/status/2051383966343532656 · Publicação no Twitter
• https://twitter.com/cybrsecpath/status/2052076705947455701 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2051518847790809389 · Publicação no Twitter
• https://twitter.com/VigneshVic23698/status/2052309236399620370 · Publicação no Twitter