Ranljivost CVE-2026-25049 n8n

Novo odkrita varnostna ranljivost v platformi za avtomatizacijo delovnega procesa n8n omogoča izvajanje poljubnih sistemskih ukazov pod določenimi pogoji. Napaka je označena kot CVE-2026-25049 in ima oceno CVSS 9,4, kar odraža njeno kritično resnost. Če je ranljivost uspešno izkoriščena, napadalcem omogoča izvajanje sistemskih ukazov na strežniku, ki gosti n8n.

Obhod predhodno popravljene ranljivosti

CVE-2026-25049 izhaja iz nezadostne sanacije, ki zaobide zaščite, uvedene za odpravo CVE-2025-68613 (CVSS 9.9), kritične ranljivosti, odpravljene decembra 2025. Nadaljnja analiza je pokazala, da je novejša CVE dejansko obhod prvotne popravke in ne povsem druga težava. Raziskovalci so dokazali, da obe pomanjkljivosti napadalcem omogočata, da se izognejo peskovniku izrazov n8n in obidejo obstoječa varnostna preverjanja. Po prejšnjem razkritju so bile ugotovljene in odpravljene tudi dodatne slabosti pri ocenjevanju izrazov.

Predpogoji za napad in mehanika izkoriščanja

Vsak overjen uporabnik z dovoljenjem za ustvarjanje ali spreminjanje delovnih tokov lahko izkoristi to ranljivost. Z vstavljanjem izdelanih izrazov v parametre delovnega toka je mogoče sprožiti nenamerno izvajanje sistemskih ukazov. Posebej nevaren scenarij vključuje ustvarjanje delovnega toka, ki brez preverjanja pristnosti razkrije javno dostopen spletni kavelj. Z vdelavo ene same vrstice JavaScripta z uporabo sintakse destrukturiranja lahko napadalci povzročijo, da delovni tok izvaja sistemske ukaze. Ko je takšen delovni tok aktiviran, lahko katera koli zunanja oseba sproži spletni kavelj in izvede ukaze na daljavo.

Resnost se še stopnjuje v kombinaciji s funkcionalnostjo spletnega kavlja n8n, ki omogoča javno razkritje zlonamernih delovnih procesov. V takih primerih izkoriščanje ne zahteva povišanih privilegijev, ki presegajo ustvarjanje delovnega procesa, kar poudarja tveganje, ki ga raziskovalci povzemajo kot: če je ustvarjanje delovnega procesa dovoljeno, je mogoče doseči popolno ogrožanje strežnika.

Osnovni vzrok: Vrzeli v uveljavljanju tipov in zloraba med izvajanjem

Ranljivost izhaja iz vrzeli v mehanizmih za čiščenje n8n in temeljnega neskladja med sistemom tipov med prevajanjem TypeScript in delovanjem JavaScripta med izvajanjem. Čeprav TypeScript med prevajanjem uveljavlja omejitve tipov, ne more zagotoviti teh omejitev za vrednosti, ki jih nadzoruje napadalec in so uvedene med izvajanjem. Z zagotavljanjem vrednosti, ki niso nizi, kot so objekti ali polja, lahko napadalci zaobidejo logiko za čiščenje, ki predpostavlja samo nize, s čimer učinkovito nevtralizirajo kritične varnostne kontrole.

Potencialni vpliv na sisteme in podatke

Uspešna izkoriščanje lahko privede do popolne ogroženosti strežnika. Napadalci bi lahko ukradli poverilnice, odtujili občutljive podatke, dostopali do datotečnega sistema in notranjih storitev, se preusmerili v povezana oblačna okolja ter ugrabili delovne procese umetne inteligence. Možnost namestitve trajnih zadnjih vrat še poveča tveganje dolgotrajnega, prikritega dostopa.

Prizadete različice in smernice za ublažitev

Ranljivost vpliva na različice n8n, starejše od izdaj s popravki, in je bila odkrita s prispevki desetih neodvisnih varnostnih raziskovalcev. Prizadete so naslednje različice, skupaj s priporočenimi začasnimi ukrepi za ublažitev, kadar takojšnja namestitev popravkov ni izvedljiva:

Prizadete različice: različice n8n, starejše od 1.123.17 in 2.5.2, za katere so bili izdani popravki.

Priporočeni ukrepi za ublažitev: omejite ustvarjanje in urejanje delovnih procesov na popolnoma zaupanja vredne uporabnike in uvedite n8n v utrjenem okolju z omejenimi pravicami operacijskega sistema in omejenim dostopom do omrežja.

Ta težava poudarja nujnost večplastnih strategij validacije. Jamstva med prevajanjem morajo biti dopolnjena s strogimi preverjanji med izvajanjem, zlasti pri obravnavanju nezanesljivih vhodnih podatkov. Pregledi kode bi se morali osredotočiti na rutine čiščenja in se izogibati predpostavkam o tipih vhodnih podatkov, ki se med izvajanjem ne uveljavljajo.

Dodatne zelo resne ranljivosti n8n

Poleg CVE-2026-25049 je n8n objavil opozorila za štiri dodatne varnostne pomanjkljivosti, od katerih sta dve ocenjeni kot kritični:

CVE-2026-25053 (CVSS 9.4) : Vbrizgavanje ukazov operacijskega sistema v vozlišču Git, ki omogoča overjenim uporabnikom z dovoljenji za delovni tok izvajanje ukazov ali branje poljubnih datotek; popravljeno v različicah 2.5.0 in 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Ranljivost shranjenega medspletnega skriptanja v komponenti za upodabljanje markdown, ki je omogočala izvajanje skriptov z istimi privilegiji izvora in morebiten prevzem računa; odpravljeno v različicah 2.2.1 in 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Težava s prečkanjem poti v vozlišču SSH, ki lahko povzroči pisanje datotek na neželene lokacije in morebitno oddaljeno izvajanje kode na ciljnih sistemih; odpravljeno v različicah 2.4.0 in 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Ranljivost pisanja v poljubne datoteke v načinu SQL poizvedbe vozlišča Merge, ki lahko povzroči oddaljeno izvajanje kode; odpravljeno v različicah 2.4.0 in 1.118.0.

Nujno posodobite, da zmanjšate tveganje

Glede na obseg in resnost ugotovljenih ranljivosti je močno priporočljiva posodobitev uvedb n8n na najnovejše razpoložljive različice. Hitro nameščanje popravkov ostaja najučinkovitejša obramba pred izkoriščanjem in posledičnim ogrožanjem.