Kerentanan CVE-2026-25049 n8n

Kerentanan keselamatan yang baru didedahkan dalam platform automasi aliran kerja n8n membolehkan pelaksanaan arahan sistem sewenang-wenangnya di bawah syarat-syarat tertentu. Kerentanan ini dikesan sebagai CVE-2026-25049 dan membawa skor CVSS sebanyak 9.4, mencerminkan tahap keterukannya yang kritikal. Jika dieksploitasi dengan jayanya, isu ini membolehkan penyerang melaksanakan arahan peringkat sistem pada pelayan yang mengehoskan n8n.

Memintas Kerentanan yang Ditampal Sebelumnya

CVE-2026-25049 berpunca daripada sanitasi yang tidak mencukupi yang memintas perlindungan yang diperkenalkan untuk memulihkan CVE-2025-68613 (CVSS 9.9), satu kelemahan kritikal yang ditampal pada Disember 2025. Analisis seterusnya menunjukkan bahawa CVE yang lebih baharu secara efektifnya merupakan memintas pembetulan asal dan bukannya isu yang sama sekali berbeza. Penyelidik telah menunjukkan bahawa kedua-dua kelemahan itu membolehkan penyerang melarikan diri daripada kotak pasir ekspresi n8n dan memintas pemeriksaan keselamatan sedia ada. Berikutan pendedahan terdahulu, kelemahan tambahan dalam penilaian ekspresi juga dikenal pasti dan ditangani.

Prasyarat Serangan dan Mekanik Eksploitasi

Mana-mana pengguna yang disahkan dengan kebenaran untuk mencipta atau mengubah suai aliran kerja boleh mengeksploitasi kerentanan tersebut. Dengan menyuntik ekspresi yang direka ke dalam parameter aliran kerja, pelaksanaan arahan sistem yang tidak disengajakan menjadi mungkin. Senario yang amat berbahaya melibatkan penciptaan aliran kerja yang mendedahkan webhook yang boleh diakses secara umum tanpa pengesahan. Dengan membenamkan satu baris JavaScript menggunakan sintaks pemusnahan, penyerang boleh menyebabkan aliran kerja melaksanakan arahan sistem. Sebaik sahaja aliran kerja sedemikian diaktifkan, mana-mana pihak luaran boleh mencetuskan webhook dan melaksanakan arahan dari jauh.

Keparahannya semakin meningkat apabila digabungkan dengan fungsi webhook n8n, yang membolehkan aliran kerja berniat jahat didedahkan secara terbuka. Dalam kes sedemikian, eksploitasi tidak memerlukan keistimewaan yang lebih tinggi melangkaui penciptaan aliran kerja, menggariskan risiko yang diringkaskan oleh penyelidik sebagai: jika penciptaan aliran kerja dibenarkan, pencerobohan pelayan penuh boleh dicapai.

Punca Utama: Jurang Penguatkuasaan Jenis dan Penyalahgunaan Masa Jalan

Kerentanan ini timbul daripada jurang dalam mekanisme sanitasi n8n dan ketidakpadanan asas antara sistem jenis masa kompilasi TypeScript dan tingkah laku masa jalan JavaScript. Walaupun TypeScript menguatkuasakan kekangan jenis semasa kompilasi, ia tidak dapat menjamin kekangan ini untuk nilai kawalan penyerang yang diperkenalkan semasa masa jalan. Dengan membekalkan nilai bukan rentetan seperti objek atau tatasusunan, penyerang boleh memintas logik sanitasi yang menganggap input rentetan sahaja, sekali gus meneutralkan kawalan keselamatan kritikal dengan berkesan.

Potensi Kesan terhadap Sistem dan Data

Eksploitasi yang berjaya boleh menyebabkan pencerobohan pelayan sepenuhnya. Penyerang boleh mencuri kelayakan, mengeluarkan data sensitif, mengakses sistem fail dan perkhidmatan dalaman, beralih kepada persekitaran awan yang disambungkan dan merampas aliran kerja kecerdasan buatan. Keupayaan untuk memasang pintu belakang yang berterusan akan meningkatkan lagi risiko akses rahsia jangka panjang.

Versi Terjejas dan Panduan Mitigasi

Kerentanan ini menjejaskan versi n8n lebih awal daripada keluaran yang ditambal dan ditemui dengan sumbangan daripada sepuluh penyelidik keselamatan bebas. Versi berikut terjejas, bersama-sama dengan mitigasi interim yang disyorkan apabila penampalan segera tidak dapat dilaksanakan:

Versi yang terjejas: versi n8n lebih awal daripada 1.123.17 dan 2.5.2, di mana pembetulan telah dikeluarkan.

Mitigasi yang disyorkan: hadkan penciptaan dan penyuntingan aliran kerja kepada pengguna yang dipercayai sepenuhnya dan gunakan n8n dalam persekitaran yang diperketatkan dengan keistimewaan sistem pengendalian yang terhad dan akses rangkaian yang terhad.

Isu ini mengetengahkan keperluan strategi pengesahan berlapis. Jaminan masa kompilasi mesti dilengkapi dengan pemeriksaan masa jalan yang ketat, terutamanya apabila mengendalikan input yang tidak dipercayai. Semakan kod harus tertumpu pada rutin sanitasi dan mengelakkan andaian tentang jenis input yang tidak dikuatkuasakan semasa masa jalan.

Kerentanan n8n Keterukan Tinggi Tambahan

Selain CVE-2026-25049, n8n telah menerbitkan nasihat untuk empat kelemahan keselamatan tambahan, dua daripadanya dinilai kritikal:

CVE-2026-25053 (CVSS 9.4) : Suntikan arahan sistem pengendalian dalam nod Git, membolehkan pengguna yang disahkan dengan kebenaran aliran kerja untuk melaksanakan arahan atau membaca fail sewenang-wenangnya; telah diperbaiki dalam versi 2.5.0 dan 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Kerentanan skrip silang tapak yang disimpan dalam komponen pemaparan markdown, membolehkan pelaksanaan skrip dengan keistimewaan asal yang sama dan potensi pengambilalihan akaun; telah dibetulkan dalam versi 2.2.1 dan 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Isu penelusuran laluan dalam nod SSH yang boleh menyebabkan penulisan fail di lokasi yang tidak diingini dan kemungkinan pelaksanaan kod jauh pada sistem sasaran; telah dibetulkan dalam versi 2.4.0 dan 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Kerentanan penulisan fail sewenang-wenangnya dalam mod Pertanyaan SQL nod Gabungan, yang berpotensi mengakibatkan pelaksanaan kod jauh; telah dibaiki dalam versi 2.4.0 dan 1.118.0.

Kemas Kini Segera untuk Mengurangkan Risiko

Memandangkan keluasan dan keterukan kelemahan yang dikenal pasti, pengemaskinian penggunaan n8n kepada versi terkini yang tersedia adalah sangat disyorkan. Penampalan segera kekal sebagai pertahanan yang paling berkesan terhadap eksploitasi dan pencerobohan berikutnya.