Defekt në Workflow-in e n8n Ekspozon Llogaritë e Përdoruesve përmes Një Dobësie në Shkëmbimin e Tokenave
Një defekt sigurie në procesin e shkëmbimit të tokenave të n8n mund të lejojë sulmuesit të rrëmbejnë seancat e përdoruesve duke imituar hyrjet nga ofrues të tjerë identiteti. Administratorët e faqeve dhe automatizimit duhet të përditësojnë menjëherë.
n8n, platforma popullore me burim të hapur për automatizimin e workflow-eve, është gjetur se përmban një dobësi kritike në mekanizmin e shkëmbimit të tokenave. Kjo e metë i lejon një sulmuesi të shkëmbejë një token nga një ofrues identiteti dhe ta përdorë atë për t'u identifikuar si një përdorues nga një lëshues krejtësisht i ndryshëm, duke dhënë potencialisht akses të paautorizuar në workflow-et e ndjeshme të automatizimit dhe sistemeve të lidhura.
Shkëmbimi i tokenave është një proces i zakonshëm në OAuth dhe protokolle të ngjashme ku një klient ndërron një lloj tokeni me një tjetër. Në këtë rast, vërtetimi i n8n për lëshuesin e tokenit (pretendimi 'iss') duket se është i pamjaftueshëm, duke i mundësuar një aktori keqdashës me një token të vlefshëm nga çdo lëshues i lejuar të imitojë një përdorues nga një burim tjetër. Kjo thyen efektivisht izolimin midis ofruesve të autentikimit dhe mund të çojë në marrjen e plotë të llogarisë.
Për pronarët e faqeve dhe ofruesit e hosting-ut, rreziku është i përforcuar sepse n8n integrohet shpesh me sisteme të menaxhimit të përmbajtjes, baza të dhënash dhe shërbime cloud. Një sulmues që fiton akses në një instancë n8n mund të manipulojë postimet e WordPress, të nisë fushata email ose të modifikojë regjistrimet DNS përmes shërbimeve të lidhura. Në mjedise hosting me shumë përdorues, një e metë e tillë mund të lejojë akses ndërmjet përdoruesve nëse n8n përdoret për të menaxhuar shumë sajte klientësh.
Zbutja e menjëhershme është përmirësimi i n8n në versionin më të fundit që adreson logjikën e vërtetimit të tokenave. Administratorët duhet gjithashtu të auditojnë konfigurimet OAuth, të sigurojnë që përputhja e rreptë e lëshuesit të zbatohet dhe të shqyrtojnë regjistrat për çdo aktivitet të dyshimtë hyrjeje që vjen nga ofrues të papritur. Çaktivizimi i ofruesve të identitetit të papërdorur mund të zvogëlojë më tej sipërfaqen e sulmit.
Për bizneset që përdorin n8n së bashku me WordPress, platformat e menaxhuara të hosting-ut si AEU Hosting aplikojnë në mënyrë proaktive arnime sigurie dhe monitorojnë modele të pazakonta autentikimi, duke zvogëluar dritaren e ekspozimit ndaj dobësive të tilla. Mbajtja e të gjitha mjeteve të automatizimit të përditësuara mbetet linja e parë e mbrojtjes. Kushdo që përdor n8n duhet ta trajtojë këtë si një rregullim urgjent dhe të verifikojë që instanca e tij nuk pranon më tokena nga lëshues të pabesueshëm.