CVE-2026-25049 n8n Cenueshmëri

Një dobësi sigurie e zbuluar rishtazi në platformën e automatizimit të rrjedhës së punës n8n lejon ekzekutimin arbitrar të komandave të sistemit në kushte të caktuara. E meta gjurmohet si CVE-2026-25049 dhe mbart një rezultat CVSS prej 9.4, duke reflektuar ashpërsinë e saj kritike. Nëse shfrytëzohet me sukses, problemi u mundëson sulmuesve të ekzekutojnë komanda në nivel sistemi në serverin që strehon n8n.

Anashkalimi i një dobësie të rregulluar më parë

CVE-2026-25049 rrjedh nga mungesa e pastrimit që anashkalon mbrojtjet e prezantuara për të korrigjuar CVE-2025-68613 (CVSS 9.9), një dobësi kritike e riparuar në dhjetor 2025. Analizat pasuese kanë treguar se CVE më i ri është në fakt një anashkalim i rregullimit origjinal dhe jo një problem krejtësisht i veçantë. Studiuesit kanë demonstruar se të dy të metat u lejojnë sulmuesve të shpëtojnë nga sandbox-i i shprehjeve të n8n dhe të anashkalojnë kontrollet ekzistuese të sigurisë. Pas zbulimit të mëparshëm, u identifikuan dhe u adresuan gjithashtu dobësi të tjera në vlerësimin e shprehjeve.

Parakushtet e Sulmit dhe Mekanika e Shfrytëzimit

Çdo përdorues i autentifikuar me leje për të krijuar ose modifikuar rrjedhat e punës mund ta shfrytëzojë dobësinë. Duke injektuar shprehje të krijuara në parametrat e rrjedhës së punës, bëhet e mundur të shkaktohet ekzekutimi i paqëllimshëm i komandave të sistemit. Një skenar veçanërisht i rrezikshëm përfshin krijimin e një rrjedhe pune që ekspozon një webhook të aksesueshëm publikisht pa autentifikim. Duke integruar një rresht të vetëm të JavaScript duke përdorur sintaksën e destruktimit, sulmuesit mund të bëjnë që rrjedha e punës të ekzekutojë komandat e sistemit. Pasi të aktivizohet një rrjedhë e tillë pune, çdo palë e jashtme mund ta shkaktojë webhook-un dhe të ekzekutojë komandat nga distanca.

Ashpërsia përshkallëzohet më tej kur kombinohet me funksionalitetin webhook të n8n, i cili lejon që rrjedhat e punës keqdashëse të ekspozohen publikisht. Në raste të tilla, shfrytëzimi nuk kërkon privilegje të larta përtej krijimit të rrjedhës së punës, duke nënvizuar rrezikun e përmbledhur nga studiuesit si: nëse lejohet krijimi i rrjedhës së punës, kompromentimi i plotë i serverit është i arritshëm.

Shkaku rrënjësor: Mangësitë në zbatimin e tipit dhe abuzimi në kohën e ekzekutimit

Dobësia lind nga boshllëqet në mekanizmat e pastrimit të n8n dhe një mospërputhje themelore midis sistemit të tipit në kohën e kompilimit të TypeScript dhe sjelljes së JavaScript në kohën e ekzekutimit. Ndërsa TypeScript zbaton kufizimet e tipit gjatë kompilimit, ai nuk mund t'i garantojë këto kufizime për vlerat e kontrolluara nga sulmuesi të futura në kohën e ekzekutimit. Duke ofruar vlera jo-string, siç janë objektet ose vargjet, sulmuesit mund të anashkalojnë logjikën e pastrimit që supozon hyrje vetëm me varg, duke neutralizuar në mënyrë efektive kontrollet kritike të sigurisë.

Ndikim i mundshëm në sisteme dhe të dhëna

Shfrytëzimi i suksesshëm mund të çojë në kompromentim të plotë të serverit. Sulmuesit mund të vjedhin kredencialet, të nxjerrin të dhëna të ndjeshme, të hyjnë në sistemin e skedarëve dhe shërbimet e brendshme, të kalojnë në mjedise të lidhura me cloud dhe të rrëmbejnë rrjedhat e punës të inteligjencës artificiale. Aftësia për të instaluar dyer të pasme të vazhdueshme rrit më tej rrezikun e aksesit të fshehtë afatgjatë.

Versionet e prekura dhe udhëzimet për zbutjen e tyre

Dobësia prek versionet n8n më herët se versionet e patch-uara dhe u zbulua me kontributet e dhjetë studiuesve të pavarur të sigurisë. Versionet e mëposhtme janë të ndikuara, së bashku me zbutjet e përkohshme të rekomanduara kur patch-imi i menjëhershëm nuk është i realizueshëm:

Versionet e prekura: versionet n8n më të hershme se 1.123.17 dhe 2.5.2, për të cilat janë publikuar rregullime.

Zbutjet e rekomanduara: kufizoni krijimin dhe redaktimin e rrjedhës së punës vetëm për përdorues plotësisht të besuar dhe vendosni n8n në një mjedis të përforcuar me privilegje të kufizuara të sistemit operativ dhe qasje të kufizuar në rrjet.

Kjo çështje nxjerr në pah domosdoshmërinë e strategjive të validimit të shtresuara. Garancitë në kohën e kompajlimit duhet të plotësohen nga kontrolle të rrepta në kohën e ekzekutimit, veçanërisht kur trajtohen të dhëna hyrëse të pabesueshme. Rishikimet e kodit duhet të përqendrohen në rutinat e pastrimit dhe të shmangin supozimet në lidhje me llojet e të dhënave hyrëse që nuk zbatohen në kohën e ekzekutimit.

Dobësi shtesë të n8n me ashpërsi të lartë

Krahas CVE-2026-25049, n8n ka publikuar këshilla për katër të meta shtesë sigurie, dy prej të cilave janë vlerësuar si kritike:

CVE-2026-25053 (CVSS 9.4) : Injektim i komandave të sistemit operativ në nyjen Git, duke u lejuar përdoruesve të autentifikuar me leje të rrjedhës së punës të ekzekutojnë komanda ose të lexojnë skedarë arbitrarë; e rregulluar në versionet 2.5.0 dhe 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Dobësi e ruajtur e skriptimit ndërfaqësor në një komponent të renderimit markdown, duke mundësuar ekzekutimin e skriptit me privilegje të së njëjtës origjinë dhe marrjen e mundshme të llogarisë; e rregulluar në versionet 2.2.1 dhe 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Problem me përshkimin e shtegut në nyjen SSH që mund të çojë në shkrime skedarësh në vende të paparashikuara dhe ekzekutim të mundshëm të kodit në distancë në sistemet e synuara; i rregulluar në versionet 2.4.0 dhe 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Dobësi arbitrare e shkrimit të skedarit në modalitetin SQL Query të nyjes Merge, që potencialisht rezulton në ekzekutim të kodit në distancë; e rregulluar në versionet 2.4.0 dhe 1.118.0.

Përditëso urgjentisht për të zvogëluar rrezikun

Duke pasur parasysh gjerësinë dhe ashpërsinë e dobësive të identifikuara, rekomandohet fuqimisht përditësimi i instalimeve n8n në versionet më të fundit të disponueshme. Përditësimi i shpejtë i patch-eve mbetet mbrojtja më efektive kundër shfrytëzimit dhe kompromentimit të mëvonshëm.