CVE-2026-25049 n8n sebezhetőség
Az n8n munkafolyamat-automatizálási platform egy újonnan feltárt biztonsági rése bizonyos feltételek mellett lehetővé teszi a rendszerparancsok tetszőleges végrehajtását. A hiba azonosítója CVE-2026-25049, és 9,4-es CVSS-pontszámmal rendelkezik, ami kritikus súlyosságát tükrözi. Sikeres kihasználás esetén a probléma lehetővé teszi a támadók számára, hogy rendszerszintű parancsokat hajtsanak végre az n8n-t futtató szerveren.
Tartalomjegyzék
Korábban javított sebezhetőség megkerülése
A CVE-2026-25049 hiba oka a nem megfelelő fertőtlenítés, amely megkerüli a CVE-2025-68613 (CVSS 9.9) sebezhetőség – 2025 decemberében javított kritikus sebezhetőség – elhárítására bevezetett védelmeket. A későbbi elemzések kimutatták, hogy az újabb CVE gyakorlatilag az eredeti javítás megkerülése, nem pedig egy teljesen különálló probléma. A kutatók kimutatták, hogy mindkét hiba lehetővé teszi a támadók számára, hogy kikerüljék az n8n kifejezés-tesztjét, és megkerüljék a meglévő biztonsági ellenőrzéseket. A korábbi közzétételt követően további gyengeségeket azonosítottak és kezeltek a kifejezéskiértékelésben.
Támadási előfeltételek és kihasználási mechanizmusok
Bármely hitelesített felhasználó, aki rendelkezik munkafolyamatok létrehozására vagy módosítására vonatkozó engedéllyel, kihasználhatja a sebezhetőséget. A munkafolyamat-paraméterekbe mesterséges kifejezések beillesztésével lehetővé válik a rendszerparancsok nem kívánt végrehajtása. Különösen veszélyes forgatókönyv egy olyan munkafolyamat létrehozása, amely nyilvánosan hozzáférhető webhookot tesz elérhetővé hitelesítés nélkül. A támadók egyetlen JavaScript-sor beágyazásával, destruktív szintaxissal, rendszerparancsok végrehajtását idézhetik elő a munkafolyamatban. Miután egy ilyen munkafolyamat aktiválódik, bármely külső fél elindíthatja a webhookot és távolról végrehajthatja a parancsokat.
A súlyosság tovább fokozódik, ha az n8n webhook funkciójával kombinálják, amely lehetővé teszi a rosszindulatú munkafolyamatok nyilvános felfedését. Ilyen esetekben a kihasználáshoz nincs szükség a munkafolyamatok létrehozásán túlmutató magasabb szintű jogosultságokra, ami aláhúzza a kutatók által a következőképpen összefoglalt kockázatot: ha a munkafolyamatok létrehozása engedélyezett, a teljes szerver feltörése elérhető.
Kiváltó ok: Típuskényszerítési hiányosságok és futásidejű visszaélések
A sebezhetőség az n8n fertőtlenítő mechanizmusainak hiányosságaiból, valamint a TypeScript fordítási idejű típusrendszere és a JavaScript futási idejű viselkedése közötti alapvető eltérésből ered. Bár a TypeScript típuskorlátozásokat érvényesít a fordítás során, nem tudja garantálni ezeket a korlátozásokat a támadó által futási időben bevezetett értékekre. Nem karakterlánc értékek, például objektumok vagy tömbök megadásával a támadók megkerülhetik a csak karakterlánc bemenetet feltételező fertőtlenítő logikát, hatékonyan semlegesítve a kritikus biztonsági ellenőrzéseket.
A rendszerekre és az adatokra gyakorolt lehetséges hatás
A sikeres kihasználás a szerver teljes feltöréséhez vezethet. A támadók ellophatják a hitelesítő adatokat, kiszivárogtathatják az érzékeny adatokat, hozzáférhetnek a fájlrendszerhez és a belső szolgáltatásokhoz, áttérhetnek a csatlakoztatott felhőkörnyezetekre, és eltéríthetik a mesterséges intelligencia munkafolyamatait. Az állandó hátsó ajtók telepítésének lehetősége tovább növeli a hosszú távú, titkos hozzáférés kockázatát.
Érintett verziók és enyhítési útmutató
A sebezhetőség a javított kiadásoknál korábbi n8n verziókat érinti, és tíz független biztonsági kutató közreműködésével fedezték fel. A következő verziók érintettek, valamint az ajánlott ideiglenes enyhítések azokra az esetekre, ha az azonnali javítás nem megvalósítható:
Érintett verziók: az 1.123.17 és 2.5.2 verziónál korábbi n8n verziók, amelyekhez javítások készültek.
Ajánlott enyhítések: a munkafolyamatok létrehozását és szerkesztését teljes mértékben megbízható felhasználókra kell korlátozni, és az n8n-t egy megerősített környezetben kell telepíteni, korlátozott operációsrendszer-jogosultságokkal és korlátozott hálózati hozzáféréssel.
Ez a probléma rávilágít a rétegzett validációs stratégiák szükségességére. A fordítási idejű garanciákat szigorú futásidejű ellenőrzéseknek kell kiegészíteniük, különösen a nem megbízható bemenet kezelésekor. A kódáttekintéseknek a fertőtlenítési rutinokra kell összpontosítaniuk, és kerülniük kell a bemeneti típusokkal kapcsolatos, futásidejű, nem érvényesített feltételezéseket.
További súlyos n8n sebezhetőségek
A CVE-2026-25049 mellett az n8n további négy biztonsági hibára vonatkozó figyelmeztetést tett közzé, amelyek közül kettő kritikusnak minősül:
CVE-2026-25053 (CVSS 9.4) : Operációs rendszer parancsbefecskendezés a Git csomópontba, amely lehetővé teszi a munkafolyamat-engedélyekkel rendelkező hitelesített felhasználók számára parancsok végrehajtását vagy tetszőleges fájlok olvasását; javítva a 2.5.0 és az 1.123.10 verziókban.
CVE-2026-25054 (CVSS 8.5) : A Markdown renderelő komponensében tárolt, webhelyek közötti szkriptelési sebezhetőség, amely lehetővé tette a szkriptek azonos eredetű jogosultságokkal történő végrehajtását és a fiókok átvételének lehetőségét; javítva a 2.2.1-es és az 1.123.9-es verziókban.
CVE-2026-25055 (CVSS 7.1) : Útvonalbejárási probléma az SSH csomópontban, amely fájlíráshoz vezethet nem kívánt helyeken, és távoli kódfuttatást okozhat a célrendszereken; javítva a 2.4.0 és az 1.123.12 verziókban.
CVE-2026-25056 (CVSS 9.4) : Tetszőleges fájlírási sebezhetőség a Merge csomópont SQL lekérdezési módjában, ami potenciálisan távoli kódfuttatást eredményezhet; javítva a 2.4.0 és 1.118.0 verziókban.
Sürgősen frissítsen a kockázat csökkentése érdekében
Tekintettel az azonosított sebezhetőségek kiterjedtségére és súlyosságára, erősen ajánlott az n8n telepítések frissítése a legújabb elérhető verziókra. A gyors javítások telepítése továbbra is a leghatékonyabb védelem a kihasználás és a későbbi kompromittálás ellen.
