n8n

صورة · Workflow · standard · v2.40.7

F 43موقّعة بـ cosignSPDX SBOMمنشأ SLSAamd64 · arm64أُعيد بناؤها 2026-10-04

Fair-code workflow automation platform — build integrations and automations across 400+ apps via a visual node editor, with native AI/LLM agent nodes. Node build on a hardened nonroot Wolfi base; the flagged transitive npm CVE class is cleared image-side with pinned overrides.

البصمة الحالية (التي ينشرها المخطط)

sha256:cfb73b45037c7f9fdfd1294b9cc0e33eb515b495c654f4fc520b4ba89c2c091e

تُرفَق التواقيع وقائمة المكوّنات والمنشأ جميعها بهذه البصمة. ثبّت عليها لعمليات سحب قابلة للتكرار ومقاومة للعبث.

الصورة

ghcr.io/quenchworks/images/n8n:2.40.7

موقّعة

cosign بدون مفتاح

SBOM

SPDX، على البصمة

المنشأ

بناء SLSA

المعماريات

amd64، arm64

تعمل كـ

nonroot (uid 1001)

نظام الملفات الجذر

للقراءة فقط

حجم الصورة

418.7 MB

الإصدارات المنشورة

1 وسم

كل وسم هو فهرس متعدد المعماريات (amd64 + arm64) مثبّت بالبصمة. موسوم بالإصدار، وليس أبدًا :latest.

الإصدار	الحجم	النشر	البصمة
2.40.7الأحدث	418.7 MB	2026-10-04	sha256:cfb73b45037c…

تقرير الأمان (Trivy)

F· 0/10036 fixable · rebuild clears them

تفاصيل الثغرات

n8n 2.40.7 · 43 CVE

الثغرة (CVE)	الخطورة	الحزمة	الإصدار المثبَّت	مُصلَحة في	الوصف
CVE-2026-100721	CRITICAL	vm2	3.11.7	3.12.2	vm2: NodeVM custom resolution bypasses external path boundaries
CVE-2026-102828	CRITICAL	simple-git	3.36.0	4.0.1	simple-git: simple-git unsafe-operation guard does not block trailer command configuration
CVE-2026-102829	CRITICAL	@simple-git/argv-parser	1.1.1	2.0.1	simple-git: `VISUAL` editor environment variable is omitted from unsafe editor detection
CVE-2026-106445	CRITICAL	handlebars	4.7.9	4.7.10	handlebars: Handlebars: JavaScript Injection via Own Property Check Bypass
CVE-2026-106446	CRITICAL	handlebars	4.7.9	4.7.10	handlebars: Handlebars: JavaScript Injection via AST Type Confusion in compile (Program.blockParams)
CVE-2026-92934	CRITICAL	vm2	3.11.7	3.11.8	vm2: vm2 before 3.11.8 Sandbox Escape RCE via AggregateError
CVE-2026-92953	CRITICAL	vm2	3.11.7	3.11.8	vm2: vm2 3.11.0 through 3.11.7 Prototype Pollution via TypedArray
CVE-2026-92954	CRITICAL	vm2	3.11.7	3.11.8	vm2: vm2 3.10.0 through 3.11.5 Denial of Service via Host Promise
CVE-2026-92955	CRITICAL	vm2	3.11.7	3.11.8	vm2: vm2 before 3.11.8 Sandbox Escape via NodeVM
CVE-2026-93605	CRITICAL	vm2	3.11.7	3.12.1	vm2: vm2 NodeVM before 3.12.1 Remote Code Execution via child_process
CVE-2026-100722	HIGH	vm2	3.11.7	3.12.2	vm2: vm2: Denial of Service via unhandled Promise rejection in construct trap
CVE-2026-102826	HIGH	simple-git	3.36.0	4.0.0	simple-git: simple-git allows command execution through unblocked Git configuration includes
CVE-2026-102827	HIGH	simple-git	3.36.0	4.0.0	simple-git: unsafe-operations plugin bypass via git long-option abbreviation (--receive-p/--exe) -> command execution (residual of CVE-2026-28291)
CVE-2026-104850	HIGH	@modelcontextprotocol/sdk	1.26.0	1.31.0	@modelcontextprotocol/sdk: @modelcontextprotocol/client: MCP TypeScript SDK: Information disclosure via unbound OAuth credentials
CVE-2026-87776	HIGH	compression	1.8.1	1.8.2	compression: compression: Denial of Service via memory leak on premature response close
CVE-2026-92959	HIGH	vm2	3.11.7	3.11.8	vm2: vm2: Asynchronous code execution bypass via Promise thenable assimilation
CVE-2026-93687	HIGH	braces	3.0.3	— غير قابلة للإصلاح	braces: braces: Denial of Service via Stack Overflow from Deeply Nested Patterns
CVE-2026-100723	MEDIUM	vm2	3.11.7	3.12.2	vm2: vm2: Information disclosure via zlib shared buffer pool
CVE-2026-104182	MEDIUM	stream-json	3.5.0	3.6.0	stream-json: stream-json: Denial of Service via inefficient comment scanning
CVE-2026-104183	MEDIUM	stream-json	3.5.0	3.6.0	stream-json: stream-json: Object prototype manipulation via crafted JSON input
CVE-2026-106119	MEDIUM	@langchain/mongodb	1.0.1	1.3.1	LangChain: MongoDBChatMessageHistory query injection can allow cross-session access
CVE-2026-106444	MEDIUM	handlebars	4.7.9	4.7.10	handlebars: Handlebars: Cross-Site Scripting via unescaped closing script tags in precompiled templates
CVE-2026-86597	MEDIUM	snowflake-sdk	2.1.0	3.3.0	Snowflake drivers writes sensitive information to logs
CVE-2026-8674	MEDIUM	glibc-2.44	2.44-r7	2.44-r8	glibc: glibc DNS stub resolver: Denial of Service via long search domain in configuration
CVE-2026-8674	MEDIUM	glibc-2.44-locale-posix	2.44-r7	2.44-r8	glibc: glibc DNS stub resolver: Denial of Service via long search domain in configuration
CVE-2026-8674	MEDIUM	ld-linux-2.44	2.44-r7	2.44-r8	glibc: glibc DNS stub resolver: Denial of Service via long search domain in configuration
CVE-2026-86805	MEDIUM	glibc-2.44	2.44-r7	2.44-r8	glibc: glibc: Privilege escalation and arbitrary code execution via TOCTOU race condition in dynamic loader
CVE-2026-86805	MEDIUM	glibc-2.44-locale-posix	2.44-r7	2.44-r8	glibc: glibc: Privilege escalation and arbitrary code execution via TOCTOU race condition in dynamic loader
CVE-2026-86805	MEDIUM	ld-linux-2.44	2.44-r7	2.44-r8	glibc: glibc: Privilege escalation and arbitrary code execution via TOCTOU race condition in dynamic loader
CVE-2026-89092	MEDIUM	glibc-2.44	2.44-r7	2.44-r8	glibc: nscd stack overflow leads to degraded DNS resolution
CVE-2026-89092	MEDIUM	glibc-2.44-locale-posix	2.44-r7	2.44-r8	glibc: nscd stack overflow leads to degraded DNS resolution
CVE-2026-89092	MEDIUM	ld-linux-2.44	2.44-r7	2.44-r8	glibc: nscd stack overflow leads to degraded DNS resolution
CVE-2026-92933	MEDIUM	vm2	3.11.7	3.11.8	vm2: vm2: Information Disclosure via util.getCallSites
CVE-2026-95818	MEDIUM	glibc-2.44	2.44-r7	2.44-r8	glibc: glibc: Local attacker can cause denial of service and information disclosure via stack-based buffer overflow.
CVE-2026-95818	MEDIUM	glibc-2.44-locale-posix	2.44-r7	2.44-r8	glibc: glibc: Local attacker can cause denial of service and information disclosure via stack-based buffer overflow.
CVE-2026-95818	MEDIUM	ld-linux-2.44	2.44-r7	2.44-r8	glibc: glibc: Local attacker can cause denial of service and information disclosure via stack-based buffer overflow.
CVE-2024-1899	MEDIUM	showdown	2.1.0	— غير قابلة للإصلاح	Showdown vulnerable to Regular Expression Denial of Service (ReDoS) in link/anchor parsing
CVE-2025-57665	MEDIUM	element-plus	2.4.3	— غير قابلة للإصلاح	Element Plus Link component (el-link) implements insufficient input validation for the href attribute
CVE-2026-59710	MEDIUM	showdown	2.1.0	— غير قابلة للإصلاح	showdown: Showdown: Stored Cross-Site Scripting via unescaped table header ID attributes in markdown
CVE-2026-59711	MEDIUM	showdown	2.1.0	— غير قابلة للإصلاح	showdown: Showdown: Cross-site scripting via unescaped metadata title allows arbitrary code execution
CVE-2026-97058	MEDIUM	sprintf-js	1.0.3	— غير قابلة للإصلاح	sprintf-js: sprintf-js: Denial of Service via unbounded precision specifiers
CVE-2026-97058	MEDIUM	sprintf-js	1.1.3	— غير قابلة للإصلاح	sprintf-js: sprintf-js: Denial of Service via unbounded precision specifiers
CVE-2026-105799	LOW	@langchain/redis	1.0.1	1.1.1	LangChain: RediSearch Filter Injection via Unescaped Tag/Text Values

حرجة

عالية

متوسطة

منخفضة

غير معروفة

fixable per nightly scan · peak 4161 of 104 days with any · 2026-06-29 to 2026-10-11

اسحب الصورة

شغّلها مباشرة باستخدام Docker أو Podman أو أي عبء عمل في Kubernetes. تعمل بدون صلاحيات الجذر، بنظام ملفات جذر للقراءة فقط، ومبنية لـ amd64 و arm64.

اسحب (وسم)

docker pull ghcr.io/quenchworks/images/n8n:2.40.7

مثبّتة بالبصمة (موصى به)

docker pull ghcr.io/quenchworks/images/n8n@sha256:cfb73b45037c7f9fdfd1294b9cc0e33eb515b495c654f4fc520b4ba89c2c091e

الوسوم

2.40.72.40.7-amd642.40.7-arm64

الصور موسومة بإصدار التطبيق (وليس أبدًا :latest): فهرس متعدد المعماريات إضافة إلى وسوم لكل معمارية.

إصدار التطبيق: 2.40.7
المعماريات: amd64, arm64
تعمل كـ: nonroot (uid 1001)
نظام الملفات الجذر: للقراءة فقط
الرخصة: LicenseRef-n8n-Sustainable-Use-License-1.0

تحقّق من سلسلة التوريد

هذه الصورة موقّعة بـ cosign وتحمل قائمة مكوّنات SPDX SBOM وشهادة منشأ بناء SLSA على البصمة نفسها. تحقّق من الثلاثة جميعها بنفسك:

# 1. signature — built and signed by QuenchWorks CI
cosign verify ghcr.io/quenchworks/images/n8n:2.40.7 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 2. SLSA build provenance — which workflow built it, from what
cosign verify-attestation --type https://slsa.dev/provenance/v1 ghcr.io/quenchworks/images/n8n:2.40.7 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 3. SPDX SBOM — the package inventory
cosign verify-attestation --type https://spdx.dev/Document/v2.3 ghcr.io/quenchworks/images/n8n:2.40.7 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

راجع دليل SBOM والمنشأ لقراءة قائمة المكوّنات واستخدام هذه الفحوص في التكامل المستمر.

الشفافية

تحمل كل صورة قائمة مكوّناتها ومنشأها كشهادات على البصمة نفسها، قابلة للتحقق علنًا بالأوامر أعلاه (تفحص الحزمة وسجلّ شفافية Sigstore، وهو Rekor).

اعرض مخطط Helm اعرض الحزمة

المشروع المنبع: https://n8n.io