PT-2026-41690 · Czlonkowski+2 · N8N-Mcp

U-Ktdi · Publicado 2026-05-18 · Atualizado 2026-05-29 · CVE-2026-45582

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas n8n-MCP versões anteriores a 2.51.3

Descrição O sanitizador de telemetria de fluxo de trabalho pode reter fragmentos parciais de parâmetros de nó em formato de URL antes de enviar os dados do fluxo de trabalho para o backend de telemetria anônima. Isso permite que valores em parâmetros de nó do tipo HTTP-Request — como identificadores de cliente ou locatário, segredos curtos incorporados em strings de consulta e parâmetros de requisição assinados — apareçam na telemetria armazenada. Este problema limita-se a campos em formato de URL em definições de fluxo de trabalho; credenciais, tokens OAuth e dados de execução de fluxo de trabalho não são afetados, pois são tratados por processos de remoção distintos e padrões dedicados.

Recomendações Atualize para a versão 2.51.3. Como medida paliativa temporária, desative a telemetria anônima definindo qualquer uma das seguintes variáveis de ambiente como true: N8N MCP TELEMETRY DISABLED, TELEMETRY DISABLED ou DISABLE TELEMETRY.

Correção

Enumeração de Fraquezas

CWE-201

Identificadores relacionados

CVE-2026-45582

GHSA-F3RG-XQJJ-CJ9W

Produtos afetados

N8N-Mcp

Referências · 8

• https://github.com/czlonkowski/n8n-mcp/pull/782 · Correção
• https://github.com/czlonkowski/n8n-mcp/commit/6cf6fef653fcd6d598f2f356aac4754931c7329f · Correção
• https://github.com/czlonkowski/n8n-mcp/security/advisories/GHSA-f3rg-xqjj-cj9w · Aviso do Fabricante
• https://github.com/czlonkowski/n8n-mcp/releases/tag/v2.51.3 · Nota
• https://github.com/czlonkowski/n8n-mcp · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-45582 · Nota de Segurança
• https://t.me/CVEtracker/55263 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-f3rg-xqjj-cj9w · Aviso do Fabricante