n8n до 2.41.4: 26 advisories без CVE, сканеры их не видят

В сентябре 2026 года n8n выпустила три партии security-рекомендаций, две из которых без CVE ID и отсутствуют в OSV.dev и GitHub Advisory Database. npm audit, Dependabot и OSV-Scanner считают уязвимые версии чистыми; исправления — в 2.41.4 (stable), 2.42.1 (beta) и 1.123.83 (1.x).

• 30 сентября: 14 advisories, 10 высокого риска, фикс в 2.41.4, 2.42.1 и 1.123.83
• GHSA-3qcw-p65v-c7vq (CVSS 8.2): OAuth-клиенты сохраняются через authorize без логина
• GHSA-4c7j-qff5-r9cx: динамические webhook-пути матчатся только по пути, чужой проект запускается
• GHSA-x5cw-hm7v-q7mj: кастомный CSS Chat Trigger даёт stored XSS на хостед-страницах