تخطَّ إلى المحتوى
QuenchWorks

n8n

صورة · Workflow · standard · v2.40.7

F 26موقّعة بـ cosignSPDX SBOMمنشأ SLSAamd64 · arm64أُعيد بناؤها 2026-10-04

Fair-code workflow automation platform — build integrations and automations across 400+ apps via a visual node editor, with native AI/LLM agent nodes. Node build on a hardened nonroot Wolfi base; the flagged transitive npm CVE class is cleared image-side with pinned overrides.

البصمة الحالية (التي ينشرها المخطط)

sha256:cfb73b45037c7f9fdfd1294b9cc0e33eb515b495c654f4fc520b4ba89c2c091e

تُرفَق التواقيع وقائمة المكوّنات والمنشأ جميعها بهذه البصمة. ثبّت عليها لعمليات سحب قابلة للتكرار ومقاومة للعبث.

الصورة
ghcr.io/quenchworks/images/n8n:2.40.7
موقّعة
cosign بدون مفتاح
SBOM
SPDX، على البصمة
المنشأ
بناء SLSA
المعماريات
amd64، arm64
تعمل كـ
nonroot (uid 1001)
نظام الملفات الجذر
للقراءة فقط
حجم الصورة
418.7 MB

الإصدارات المنشورة

1 وسم

كل وسم هو فهرس متعدد المعماريات (amd64 + arm64) مثبّت بالبصمة. موسوم بالإصدار، وليس أبدًا :latest.

الإصدارالحجمالنشرالبصمة
2.40.7الأحدث418.7 MB2026-10-04sha256:cfb73b45037c…

تقرير الأمان (Trivy)

F· 0/10019 fixable · rebuild clears them

تفاصيل الثغرات

n8n 2.40.7 · 26 CVE
الثغرة (CVE)الخطورةالحزمةالإصدار المثبَّتمُصلَحة فيالوصف
CVE-2026-100721CRITICALvm23.11.73.12.2vm2: NodeVM custom resolution bypasses external path boundaries
CVE-2026-102828CRITICALsimple-git3.36.04.0.1simple-git: simple-git unsafe-operation guard does not block trailer command configuration
CVE-2026-102829CRITICAL@simple-git/argv-parser1.1.12.0.1simple-git: `VISUAL` editor environment variable is omitted from unsafe editor detection
CVE-2026-92934CRITICALvm23.11.73.11.8vm2: vm2 before 3.11.8 Sandbox Escape RCE via AggregateError
CVE-2026-92953CRITICALvm23.11.73.11.8vm2: vm2 3.11.0 through 3.11.7 Prototype Pollution via TypedArray
CVE-2026-92954CRITICALvm23.11.73.11.8vm2: vm2 3.10.0 through 3.11.5 Denial of Service via Host Promise
CVE-2026-92955CRITICALvm23.11.73.11.8vm2: vm2 before 3.11.8 Sandbox Escape via NodeVM
CVE-2026-100722HIGHvm23.11.73.12.2vm2: vm2: Denial of Service via unhandled Promise rejection in construct trap
CVE-2026-102826HIGHsimple-git3.36.04.0.0simple-git: simple-git allows command execution through unblocked Git configuration includes
CVE-2026-102827HIGHsimple-git3.36.04.0.0simple-git: unsafe-operations plugin bypass via git long-option abbreviation (--receive-p/--exe) -> command execution (residual of CVE-2026-28291)
CVE-2026-104850HIGH@modelcontextprotocol/sdk1.26.01.31.0MCP TypeScript SDK: OAuth client could send credentials to an authorization server chosen by the MCP server
CVE-2026-87776HIGHcompression1.8.11.8.2compression: compression: Denial of Service via memory leak on premature response close
CVE-2026-92959HIGHvm23.11.73.11.8vm2: vm2: Asynchronous code execution bypass via Promise thenable assimilation
CVE-2026-93687HIGHbraces3.0.3— غير قابلة للإصلاحbraces: braces: Denial of Service via Stack Overflow from Deeply Nested Patterns
CVE-2026-100723MEDIUMvm23.11.73.12.2vm2: vm2: Information disclosure via zlib shared buffer pool
CVE-2026-104182MEDIUMstream-json3.5.03.6.0stream-json: stream-json: Denial of Service via inefficient comment scanning
CVE-2026-104183MEDIUMstream-json3.5.03.6.0stream-json: stream-json: Object prototype manipulation via crafted JSON input
CVE-2026-86597MEDIUMsnowflake-sdk2.1.03.3.0Snowflake drivers writes sensitive information to logs
CVE-2026-92933MEDIUMvm23.11.73.11.8vm2: vm2: Information Disclosure via util.getCallSites
CVE-2024-1899MEDIUMshowdown2.1.0— غير قابلة للإصلاحShowdown vulnerable to Regular Expression Denial of Service (ReDoS) in link/anchor parsing
CVE-2025-57665MEDIUMelement-plus2.4.3— غير قابلة للإصلاحElement Plus Link component (el-link) implements insufficient input validation for the href attribute
CVE-2026-59710MEDIUMshowdown2.1.0— غير قابلة للإصلاحshowdown: Showdown: Stored Cross-Site Scripting via unescaped table header ID attributes in markdown
CVE-2026-59711MEDIUMshowdown2.1.0— غير قابلة للإصلاحshowdown: Showdown: Cross-site scripting via unescaped metadata title allows arbitrary code execution
CVE-2026-97058MEDIUMsprintf-js1.0.3— غير قابلة للإصلاحsprintf-js: sprintf-js: Denial of Service via unbounded precision specifiers
CVE-2026-97058MEDIUMsprintf-js1.1.3— غير قابلة للإصلاحsprintf-js: sprintf-js: Denial of Service via unbounded precision specifiers
CVE-2026-105799LOW@langchain/redis1.0.11.1.1LangChain: RediSearch Filter Injection via Unescaped Tag/Text Values
7
حرجة
7
عالية
11
متوسطة
1
منخفضة
0
غير معروفة
fixable per nightly scan · peak 4157 of 100 days with any · 2026-06-29 to 2026-10-07

اسحب الصورة

شغّلها مباشرة باستخدام Docker أو Podman أو أي عبء عمل في Kubernetes. تعمل بدون صلاحيات الجذر، بنظام ملفات جذر للقراءة فقط، ومبنية لـ amd64 و arm64.

اسحب (وسم)

docker pull ghcr.io/quenchworks/images/n8n:2.40.7

مثبّتة بالبصمة (موصى به)

docker pull ghcr.io/quenchworks/images/n8n@sha256:cfb73b45037c7f9fdfd1294b9cc0e33eb515b495c654f4fc520b4ba89c2c091e

الوسوم

2.40.72.40.7-amd642.40.7-arm64

الصور موسومة بإصدار التطبيق (وليس أبدًا :latest): فهرس متعدد المعماريات إضافة إلى وسوم لكل معمارية.

إصدار التطبيق
2.40.7
المعماريات
amd64, arm64
تعمل كـ
nonroot (uid 1001)
نظام الملفات الجذر
للقراءة فقط
الرخصة
LicenseRef-n8n-Sustainable-Use-License-1.0

تحقّق من سلسلة التوريد

هذه الصورة موقّعة بـ cosign وتحمل قائمة مكوّنات SPDX SBOM وشهادة منشأ بناء SLSA على البصمة نفسها. تحقّق من الثلاثة جميعها بنفسك:

# 1. signature — built and signed by QuenchWorks CI
cosign verify ghcr.io/quenchworks/images/n8n:2.40.7 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 2. SLSA build provenance — which workflow built it, from what
cosign verify-attestation --type https://slsa.dev/provenance/v1 ghcr.io/quenchworks/images/n8n:2.40.7 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 3. SPDX SBOM — the package inventory
cosign verify-attestation --type https://spdx.dev/Document/v2.3 ghcr.io/quenchworks/images/n8n:2.40.7 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

راجع دليل SBOM والمنشأ لقراءة قائمة المكوّنات واستخدام هذه الفحوص في التكامل المستمر.

الشفافية

تحمل كل صورة قائمة مكوّناتها ومنشأها كشهادات على البصمة نفسها، قابلة للتحقق علنًا بالأوامر أعلاه (تفحص الحزمة وسجلّ شفافية Sigstore، وهو Rekor).

اعرض مخطط Helmاعرض الحزمة

المشروع المنبع: https://n8n.io