n8n: Reflected XSS via Facebook, WhatsApp, and Microsoft Teams Trigger Webhook Verification Endpoints

Las versiones de n8n anteriores a la 2.24.0 tienen una falla de seguridad donde los endpoints de webhooks de Facebook, WhatsApp y Microsoft Teams reflejan la entrada del usuario directamente en páginas web sin protección adecuada, permitiendo que atacantes inyecten scripts maliciosos que se ejecutan en el navegador de un usuario autenticado.

Existe una vulnerabilidad de XSS reflejado en los endpoints de los nodos de desencadenador Meta y Microsoft Teams, donde parámetros de consulta sin sanitizar se repiten en respuestas HTTP sin protecciones de Content-Security-Policy. Un atacante puede crear una URL maliciosa y engañar a un usuario autenticado de n8n para visitarla, causando la ejecución de JavaScript arbitrario en el contexto de la aplicación.