CVE-2026-25049 n8n-sårbarhed

En nyligt afsløret sikkerhedssårbarhed i n8n-workflowautomatiseringsplatformen muliggør vilkårlig udførelse af systemkommandoer under visse betingelser. Fejlen er sporet som CVE-2026-25049 og har en CVSS-score på 9,4, hvilket afspejler dens kritiske alvorlighed. Hvis problemet udnyttes med succes, gør det det muligt for angribere at udføre kommandoer på systemniveau på serveren, der er vært for n8n.

Omgåelse af en tidligere opdateret sårbarhed

CVE-2026-25049 stammer fra utilstrækkelig rensning, der omgår beskyttelser introduceret for at afhjælpe CVE-2025-68613 (CVSS 9.9), en kritisk sårbarhed, der blev opdateret i december 2025. Efterfølgende analyser har vist, at den nyere CVE effektivt er en omgåelse af den oprindelige rettelse snarere end et helt separat problem. Forskere har vist, at begge fejl giver angribere mulighed for at undslippe n8n's udtrykssandkasse og omgå eksisterende sikkerhedskontroller. Efter den tidligere afsløring blev yderligere svagheder i udtryksevalueringen også identificeret og adresseret.

Forudsætninger for angreb og udnyttelsesmekanismer

Enhver godkendt bruger med tilladelse til at oprette eller ændre arbejdsgange kan udnytte sårbarheden. Ved at indsprøjte specialfremstillede udtryk i arbejdsgangparametre bliver det muligt at udløse utilsigtet udførelse af systemkommandoer. Et særligt farligt scenarie involverer oprettelse af en arbejdsgang, der eksponerer en offentligt tilgængelig webhook uden godkendelse. Ved at integrere en enkelt linje JavaScript ved hjælp af destrukturerende syntaks kan angribere få arbejdsgangen til at udføre systemkommandoer. Når en sådan arbejdsgang er aktiveret, kan enhver ekstern part udløse webhooken og udføre kommandoer eksternt.

Alvorligheden eskalerer yderligere, når den kombineres med n8n's webhook-funktionalitet, som tillader offentligheden at eksponere ondsindede arbejdsgange. I sådanne tilfælde kræver udnyttelse ikke forhøjede rettigheder ud over oprettelse af arbejdsgange, hvilket understreger den risiko, som forskere opsummerer som: hvis oprettelse af arbejdsgange er tilladt, er fuldstændig serverkompromittering mulig.

Grundårsag: Mangler i typehåndhævelse og misbrug af kørselstid

Sårbarheden stammer fra huller i n8n's saneringsmekanismer og en fundamental uoverensstemmelse mellem TypeScripts typesystem under kompilering og JavaScripts runtime-adfærd. Selvom TypeScript håndhæver typebegrænsninger under kompilering, kan det ikke garantere disse begrænsninger for angriberstyrede værdier, der introduceres under kørsel. Ved at levere ikke-strengværdier, såsom objekter eller arrays, kan angribere omgå saneringslogik, der antager input kun med strenge, hvilket effektivt neutraliserer kritiske sikkerhedskontroller.

Potentiel indvirkning på systemer og data

Vellykket udnyttelse kan føre til fuldstændig serverkompromittering. Angribere kan stjæle legitimationsoplysninger, tvangsudtømme følsomme data, få adgang til filsystemet og interne tjenester, skifte til forbundne cloudmiljøer og kapre arbejdsgange med kunstig intelligens. Muligheden for at installere vedvarende bagdøre øger yderligere risikoen for langvarig, skjult adgang.

Berørte versioner og vejledning til afhjælpning

Sårbarheden påvirker n8n-versioner, der er ældre end de opdaterede versioner, og blev opdaget med bidrag fra ti uafhængige sikkerhedsforskere. Følgende versioner er berørt, sammen med anbefalede midlertidige afhjælpningsforanstaltninger, når øjeblikkelig opdatering ikke er mulig:

Berørte versioner: n8n-versioner tidligere end 1.123.17 og 2.5.2, hvor rettelser er blevet udgivet.

Anbefalede afhjælpningsforanstaltninger: begræns oprettelse og redigering af arbejdsgange til fuldt betroede brugere, og implementer n8n i et hærdet miljø med begrænsede operativsystemrettigheder og begrænset netværksadgang.

Dette problem fremhæver nødvendigheden af lagdelte valideringsstrategier. Kompileringstidsgarantier skal suppleres med strenge runtime-kontroller, især ved håndtering af upålidelig input. Kodegennemgange bør fokusere på saneringsrutiner og undgå antagelser om inputtyper, der ikke håndhæves under runtime.

Yderligere n8n-sårbarheder med høj alvorlighed

Udover CVE-2026-25049 har n8n udgivet meddelelser om fire yderligere sikkerhedshuller, hvoraf to er vurderet som kritiske:

CVE-2026-25053 (CVSS 9.4) : Kommandoindsprøjtning i operativsystemet i Git-noden, hvilket giver godkendte brugere med arbejdsgangstilladelser mulighed for at udføre kommandoer eller læse vilkårlige filer; rettet i version 2.5.0 og 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Lagret sårbarhed i forbindelse med cross-site scripting i en markdown-renderingskomponent, hvilket muliggør scriptudførelse med rettigheder af samme oprindelse og potentiel kontoovertagelse; rettet i version 2.2.1 og 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Problem med stigennemgang i SSH-noden, der kan føre til filskrivninger på utilsigtede steder og mulig fjernudførelse af kode på målsystemer; rettet i version 2.4.0 og 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Sårbarhed med vilkårlig filskrivning i Merge-nodens SQL-forespørgselstilstand, potentielt resulterende i fjernudførelse af kode; rettet i version 2.4.0 og 1.118.0.

Opdater hurtigst muligt for at reducere risikoen

I betragtning af omfanget og alvoren af de identificerede sårbarheder anbefales det kraftigt at opdatere n8n-implementeringer til de seneste tilgængelige versioner. Hurtig opdatering er fortsat det mest effektive forsvar mod udnyttelse og efterfølgende kompromittering.