تخطَّ إلى المحتوى
QuenchWorks

n8n

مخطط · Workflow · standard · v0.1.27

مثبّتة بالبصمةموقّعة بـ cosignSPDX SBOMمنشأ SLSAamd64 · arm64أُعيد بناؤها 2026-10-22

Fair-code workflow automation platform — build integrations and automations across 400+ apps via a visual node editor, with native AI/LLM agent nodes. Node build on a hardened nonroot Wolfi base; the flagged transitive npm CVE class is cleared image-side with pinned overrides.

الإصدار

0.1.27 · الأحدث0.1.260.1.25

يعيش الخط الأحدث في الصفحة الأساسية؛ وللخطوط الأقدم صفحاتها الخاصة لتتمكّن من تثبيت ذلك الإصدار بالضبط والتحقق منه. تُدرج الإصدارات الأحدث فقط — فالمخطط الأقدم يثبّت بصمة صورة أقدم.

بصمة الصورة المنشورة

sha256:c095cfd91d5b23674026513f780215c527ffe301142596c0cb199cb36fa3e0cb

إصدار OCI للمخطط

oci://ghcr.io/quenchworks/charts/n8n:0.1.27

يثبّت المخطط صورته بهذه البصمة الموقّعة، فلا تتعقّبها بنفسك أبدًا. تُرفَق التواقيع وقائمة المكوّنات والمنشأ بالبصمة نفسها.

موقّعة
cosign بدون مفتاح
SBOM
SPDX، على الصورة
المنشأ
بناء SLSA
المعماريات
amd64، arm64
تعمل كـ
nonroot (uid 1001)
نظام الملفات الجذر
للقراءة فقط
حجم الصورة
399.8 MB

تقرير الأمان (Trivy)

F· 0/10036 fixable · rebuild clears them

تفاصيل الثغرات

n8n 2.40.7 · 36 CVE
الثغرة (CVE)الخطورةالحزمةالإصدار المثبَّتمُصلَحة فيالوصف
CVE-2026-115905CRITICALzip8.2.09.0.5zip is a zip library for Rust that supports reading and writing simple ...
CVE-2026-109383HIGHundici6.28.16.29.1, 7.30.1, 8.12.2undici: undici: Certificate validation bypass via dropped TLS options in Agent
CVE-2026-109383HIGHundici7.29.16.29.1, 7.30.1, 8.12.2undici: undici: Certificate validation bypass via dropped TLS options in Agent
CVE-2026-109461HIGH@azure/msal-node5.1.57.1.0MSAL Node authorization code flow may disclose parameters to an attacker-controlled endpoint
CVE-2026-109461HIGH@azure/msal-node6.0.17.1.0MSAL Node authorization code flow may disclose parameters to an attacker-controlled endpoint
CVE-2026-109829HIGHundici7.29.17.30.1, 8.12.2undici: undici: Cache poisoning and information disclosure via improper cross-origin redirect caching
CVE-2026-109869HIGHundici6.28.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via unhandled stream error on excessive content encodings
CVE-2026-109869HIGHundici7.29.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via unhandled stream error on excessive content encodings
CVE-2026-111181HIGHbody-parser2.3.02.4.0, 1.20.9body-parser: body-parser: Denial of Service via unhandled decompression stream error
CVE-2026-113872HIGHmulter2.4.02.5.0multer: multer: Denial of Service via aborted request during asynchronous file filtering
CVE-2026-114141HIGHtoml4.2.05.0.1toml: toml: Denial of Service via crafted array-of-tables headers
CVE-2026-114142HIGHtoml4.2.05.0.1toml-node: Prototype pollution: parsing a TOML document can write to Object.prototype
CVE-2026-114143HIGHtoml4.2.05.0.1toml: toml-node: Denial of Service via long dotted keys in TOML input
CVE-2026-114144HIGHtoml4.2.05.0.1toml: toml-node: Denial of Service via unbounded integer parsing
CVE-2026-87018HIGHundici6.28.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via TLS renegotiation with mismatched certificate
CVE-2026-87018HIGHundici7.29.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via TLS renegotiation with mismatched certificate
GHSA-f897-62hf-6gxqHIGH@modelcontextprotocol/node2.0.02.1.0MCP TypeScript SDK: HTTP server transports and handlers did not limit request body size or JSON-RPC batch length
CVE-2026-109841MEDIUMundici7.29.17.30.1, 8.12.2undici: undici: Subresource Integrity bypass via non-lowercase algorithm tokens
CVE-2026-109924MEDIUMundici6.28.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via memory exhaustion in EventSource client
CVE-2026-109924MEDIUMundici7.29.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via memory exhaustion in EventSource client
CVE-2026-109932MEDIUMundici6.28.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via unbounded WebSocket PONG buffering
CVE-2026-109932MEDIUMundici7.29.16.29.1, 7.30.1, 8.12.2undici: undici: Denial of Service via unbounded WebSocket PONG buffering
CVE-2026-110816MEDIUMqs6.16.06.16.1qs: qs: Denial of Service via unhandled exception during array serialization
CVE-2026-114129MEDIUMstream-json3.6.03.7.0stream-json: stream-json: Denial of Service via deeply nested JSON documents
CVE-2026-118663MEDIUM@hono/node-server2.0.102.1.3@hono/node-server: `serveStatic` decodes the request path a second time, leading to bypass of middleware on static paths
CVE-2026-87029MEDIUMundici7.29.17.30.1, 8.12.2undici: undici: Denial of Service via unhandled exception in decompress interceptor
GHSA-4ffr-jq9g-5ffxMEDIUMnodemailer10.0.1010.0.13Nodemailer: Quadratic backtracking in SMTP AUTH mechanism detection regexes allows pre-auth remote denial of service
GHSA-85x2-q946-cp5hMEDIUMnodemailer10.0.1010.1.4Nodemailer: A ">" inside a quoted local part ends an angle-addr early in addressparser, delivering to a domain the header does not name
GHSA-8c8m-p3m8-cjg8MEDIUMnodemailer10.0.1010.1.4Nodemailer: A nested comment ends early in addressparser, releasing the rest of the comment as a recipient
GHSA-g73g-hqqh-jr95MEDIUMnodemailer10.0.1010.0.13Nodemailer: RFC 5322 comment inside an angle-bracket address is never stripped
GHSA-m943-m63m-w62wMEDIUMnodemailer10.0.1010.1.4Nodemailer: A ";" inside a quoted string or comment ends an address group early in addressparser, turning display text into a recipient
CVE-2024-1899MEDIUMshowdown2.1.0— غير قابلة للإصلاحShowdown vulnerable to Regular Expression Denial of Service (ReDoS) in link/anchor parsing
CVE-2025-57665MEDIUMelement-plus2.4.3— غير قابلة للإصلاحElement Plus Link component (el-link) implements insufficient input validation for the href attribute
CVE-2026-59710MEDIUMshowdown2.1.0— غير قابلة للإصلاحshowdown: Showdown: Stored Cross-Site Scripting via unescaped table header ID attributes in markdown
CVE-2026-59711MEDIUMshowdown2.1.0— غير قابلة للإصلاحshowdown: Showdown: Cross-site scripting via unescaped metadata title allows arbitrary code execution
CVE-2026-93753LOWdeepmerge4.3.1— غير قابلة للإصلاحdeepmerge: deepmerge: Prototype Poisoning via mergeObject function
1
حرجة
19
عالية
20
متوسطة
1
منخفضة
0
غير معروفة

تقرير الأمان (Trivy) · image n8n 2.40.7

ثبّت المخطط

انشر إلى Kubernetes بإعدادات افتراضية مُحصّنة. يثبّت المخطط صورته ببصمة موقّعة، فلا تتعقّبها بنفسك أبدًا.

تثبيت (الأحدث)

helm install my-n8n oci://ghcr.io/quenchworks/charts/n8n --version 0.1.27

يَنشُر الصور (مثبّتة بالبصمة)

إصدار المخطط
0.1.27
إصدار التطبيق
2.40.7
رخصة المخطط
LicenseRef-n8n-Sustainable-Use-License-1.0
رخصة التطبيق
LicenseRef-n8n-Sustainable-Use-License-1.0
منفذ الخدمة
5678
موقّع
cosign (بدون مفتاح)
مخطط القيم
نعم
آخر نشر
2026-10-26
مفاتيح القيم
  • image: repository digest pullPolicy
  • nameOverride
  • replicaCount
  • n8n: host protocol webhookUrl encryptionKey existingSecret existingSecretKey
  • database: type postgresql
  • taskRunners: enabled image brokerPort authToken resources
  • persistence: enabled size accessModes annotations selector existingClaim
  • resources: requests limits
  • service: type port
  • podLabels
  • podAnnotations
  • nodeSelector
  • affinity
  • tolerations
  • topologySpreadConstraints
  • priorityClassName
  • schedulerName
  • terminationGracePeriodSeconds
  • updateStrategy
  • extraEnvVars
  • extraEnvVarsCM
  • extraEnvVarsSecret
  • extraVolumes
  • extraVolumeMounts
  • initContainers
  • sidecars
  • lifecycleHooks
  • command
  • args
  • podSecurityContext
  • containerSecurityContext
  • livenessProbe
  • readinessProbe
  • customLivenessProbe
  • customReadinessProbe
  • customStartupProbe
  • serviceAccount: create name annotations
  • rbac: create
  • networkPolicy: enabled allowExternal
  • podDisruptionBudget: enabled minAvailable
  • ingress: enabled className annotations servicePort hosts tls

تحقّق من المخطط

cosign verify ghcr.io/quenchworks/charts/n8n:0.1.27 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

الشفافية

يَنشُر المخطط شهاداته على GitHub ، والصورة التي ينشرها تحمل شهاداتها على البصمة نفسها، قابلة للتحقق علنًا بالأوامر أعلاه. كلاهما يُسجَّل في سجلّ شفافية Sigstore (Rekor)، الذي يفحصه cosign verify نيابةً عنك.

اعرض الصورةاعرض على ArtifactHubمصدر المخطط

المشروع المنبع: https://n8n.io