Уязвимость CVE-2026-25049 n8n

В платформе автоматизации рабочих процессов n8n обнаружена новая уязвимость, позволяющая при определенных условиях выполнять произвольные системные команды. Уязвимость зарегистрирована как CVE-2026-25049 и имеет оценку CVSS 9,4, что отражает ее критическую серьезность. В случае успешной эксплуатации эта уязвимость позволяет злоумышленникам выполнять команды системного уровня на сервере, на котором размещена платформа n8n.

Обход ранее исправленной уязвимости

Уязвимость CVE-2026-25049 возникает из-за недостаточной проверки кода, которая обходит средства защиты, введенные для устранения критической уязвимости CVE-2025-68613 (CVSS 9.9), исправленной в декабре 2025 года. Последующий анализ показал, что новая уязвимость CVE фактически является обходом первоначального исправления, а не совершенно отдельной проблемой. Исследователи продемонстрировали, что обе уязвимости позволяют злоумышленникам выйти за пределы «песочницы» выражений n8n и обойти существующие проверки безопасности. После предыдущего раскрытия информации были также выявлены и устранены дополнительные уязвимости в оценке выражений.

Предпосылки атаки и механизмы эксплуатации

Любой авторизованный пользователь, имеющий разрешение на создание или изменение рабочих процессов, может использовать эту уязвимость. Внедряя специально созданные выражения в параметры рабочего процесса, можно инициировать непреднамеренное выполнение системных команд. Особенно опасный сценарий включает создание рабочего процесса, который предоставляет общедоступный веб-перехватчик без аутентификации. Внедряя всего одну строку JavaScript с использованием деструктурирующего синтаксиса, злоумышленники могут заставить рабочий процесс выполнять системные команды. После активации такого рабочего процесса любая внешняя сторона может запустить веб-перехватчик и удаленно выполнить команды.

Серьезность проблемы еще больше возрастает в сочетании с функциональностью веб-хуков n8n, которая позволяет публично раскрывать вредоносные рабочие процессы. В таких случаях для эксплуатации не требуются повышенные привилегии, выходящие за рамки создания рабочего процесса, что подчеркивает риск, который исследователи суммируют следующим образом: если создание рабочего процесса разрешено, то возможна полная компрометация сервера.

Первопричина: пробелы в проверке типов и злоупотребления во время выполнения.

Уязвимость возникает из-за пробелов в механизмах проверки типов n8n и фундаментального несоответствия между системой типов TypeScript, определяющей тип во время компиляции, и поведением JavaScript во время выполнения. Хотя TypeScript обеспечивает соблюдение ограничений типов во время компиляции, он не может гарантировать эти ограничения для значений, контролируемых злоумышленником и вводимых во время выполнения. Предоставляя нестроковые значения, такие как объекты или массивы, злоумышленники могут обойти логику проверки типов, которая предполагает ввод только строк, фактически нейтрализуя критически важные средства контроля безопасности.

Потенциальное влияние на системы и данные

Успешная эксплуатация уязвимости может привести к полной компрометации сервера. Злоумышленники могут украсть учетные данные, похитить конфиденциальные данные, получить доступ к файловой системе и внутренним службам, перенаправить трафик на подключенные облачные среды и перехватить рабочие процессы искусственного интеллекта. Возможность установки постоянных бэкдоров еще больше увеличивает риск долгосрочного скрытого доступа.

Затронутые версии и рекомендации по устранению проблем

Уязвимость затрагивает версии n8n, предшествующие исправленным релизам, и была обнаружена при участии десяти независимых исследователей безопасности. Затронуты следующие версии, а также рекомендованы временные меры по устранению уязвимости, когда немедленная установка исправлений невозможна:

Затронутые версии: версии n8n младше 1.123.17 и 2.5.2, для которых были выпущены исправления.

Рекомендуемые меры по смягчению последствий: ограничить создание и редактирование рабочих процессов только для полностью доверенных пользователей и развернуть n8n в защищенной среде с ограниченными правами доступа к операционной системе и ограниченным доступом к сети.

Эта проблема подчеркивает необходимость многоуровневых стратегий проверки. Гарантии, предоставляемые на этапе компиляции, должны дополняться строгими проверками во время выполнения, особенно при обработке ненадежных входных данных. При проверке кода следует уделять особое внимание процедурам очистки данных и избегать предположений о типах входных данных, которые не проверяются во время выполнения.

Дополнительные уязвимости n8n высокой степени серьезности

Помимо CVE-2026-25049, n8n опубликовала уведомления о четырех дополнительных уязвимостях безопасности, две из которых имеют критический уровень опасности:

CVE-2026-25053 (CVSS 9.4) : Внедрение команд операционной системы в узел Git, позволяющее авторизованным пользователям с правами доступа к рабочим процессам выполнять команды или читать произвольные файлы; исправлено в версиях 2.5.0 и 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Уязвимость, связанная с межсайтовым скриптингом (XSS), в компоненте рендеринга Markdown, позволяющая выполнять скрипт с правами доступа из того же источника и потенциально захватывать учетную запись; исправлено в версиях 2.2.1 и 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Проблема обхода пути в узле SSH, которая может привести к записи файлов в непредусмотренные места и возможному удаленному выполнению кода в целевых системах; исправлено в версиях 2.4.0 и 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Уязвимость произвольной записи в файл в режиме SQL-запроса узла Merge, потенциально приводящая к удаленному выполнению кода; исправлено в версиях 2.4.0 и 1.118.0.

Срочно обновите, чтобы снизить риски.

Учитывая масштаб и серьезность выявленных уязвимостей, настоятельно рекомендуется обновить развертывания n8n до последних доступных версий. Своевременное обновление остается наиболее эффективной защитой от эксплуатации и последующего взлома.