Kahinaan ng CVE-2026-25049 n8n

Isang bagong isiniwalat na kahinaan sa seguridad sa platform ng automation ng daloy ng trabaho ng n8n ang nagpapahintulot sa arbitraryong pagpapatupad ng utos ng sistema sa ilalim ng ilang partikular na kundisyon. Ang depekto ay sinusubaybayan bilang CVE-2026-25049 at may markang CVSS na 9.4, na sumasalamin sa kritikal na kalubhaan nito. Kung matagumpay na magagamit, ang isyu ay magbibigay-daan sa mga umaatake na magsagawa ng mga utos sa antas ng sistema sa server na nagho-host ng n8n.

Paglampas sa Dating Naayos na Kahinaan

Ang CVE-2026-25049 ay nagmumula sa hindi sapat na sanitization na lumalampas sa mga proteksyong ipinakilala upang malunasan ang CVE-2025-68613 (CVSS 9.9), isang kritikal na kahinaan na naayos noong Disyembre 2025. Ipinakita ng kasunod na pagsusuri na ang mas bagong CVE ay epektibong isang paglampas sa orihinal na pag-aayos sa halip na isang ganap na natatanging isyu. Ipinakita ng mga mananaliksik na ang parehong mga depekto ay nagbibigay-daan sa mga umaatake na makatakas sa expression sandbox ng n8n at malampasan ang mga umiiral na pagsusuri sa seguridad. Kasunod ng naunang pagsisiwalat, natukoy at natugunan din ang mga karagdagang kahinaan sa pagsusuri ng ekspresyon.

Mga Kinakailangan sa Pag-atake at Mekanismo ng Pagsasamantala

Maaaring samantalahin ng sinumang na-authenticate na user na may pahintulot na lumikha o magbago ng mga workflow ang kahinaan. Sa pamamagitan ng paglalagay ng mga ginawang expression sa mga parameter ng workflow, nagiging posible ang hindi sinasadyang pagpapatupad ng command ng system. Ang isang partikular na mapanganib na senaryo ay kinabibilangan ng paglikha ng isang workflow na naglalantad sa isang pampublikong naa-access na webhook nang walang authentication. Sa pamamagitan ng pag-embed ng isang linya ng JavaScript gamit ang destructuring syntax, maaaring maging sanhi ng mga attacker na isagawa ng workflow ang mga command ng system. Kapag na-activate na ang naturang workflow, maaaring i-trigger ng anumang panlabas na partido ang webhook at isagawa ang mga command nang malayuan.

Ang kalubhaan nito ay lalong tumitindi kapag isinama sa webhook functionality ng n8n, na nagpapahintulot sa publikong paglantad ng mga malisyosong workflow. Sa ganitong mga kaso, ang pagsasamantala ay hindi nangangailangan ng mas mataas na mga pribilehiyo na lampas sa paglikha ng workflow, na nagbibigay-diin sa panganib na binuod ng mga mananaliksik bilang: kung pinahihintulutan ang paglikha ng workflow, makakamit ang ganap na pagkompromiso sa server.

Ugat na Sanhi: Mga Pagitan sa Pagpapatupad ng Uri at Pag-abuso sa Runtime

Ang kahinaan ay nagmumula sa mga puwang sa mga mekanismo ng sanitization ng n8n at isang pangunahing hindi pagkakatugma sa pagitan ng compile-time type system ng TypeScript at ng runtime behavior ng JavaScript. Bagama't ipinapatupad ng TypeScript ang mga constraint ng uri habang nagko-compile, hindi nito magagarantiya ang mga constraint na ito para sa mga attacker-controlled value na ipinakilala sa runtime. Sa pamamagitan ng pagbibigay ng mga non-string value tulad ng mga object o array, maaaring malampasan ng mga attacker ang sanitization logic na nagpapalagay ng string-only input, na epektibong nag-neutralize sa mga kritikal na kontrol sa seguridad.

Potensyal na Epekto sa mga Sistema at Datos

Ang matagumpay na pagsasamantala ay maaaring humantong sa ganap na pagkakompromiso sa server. Maaaring nakawin ng mga umaatake ang mga kredensyal, i-exfiltrate ang sensitibong data, ma-access ang filesystem at mga internal na serbisyo, lumipat sa mga konektadong cloud environment, at i-hijack ang mga workflow ng artificial intelligence. Ang kakayahang mag-install ng mga persistent backdoor ay lalong nagpapataas ng panganib ng pangmatagalang, palihim na pag-access.

Mga Apektadong Bersyon at Patnubay sa Pagpapagaan

Ang kahinaan ay nakakaapekto sa mga bersyon ng n8n na mas maaga kaysa sa mga na-patch na release at natuklasan sa mga kontribusyon mula sa sampung independiyenteng mananaliksik sa seguridad. Ang mga sumusunod na bersyon ay naapektuhan, kasama ang mga inirerekomendang pansamantalang pagpapagaan kapag ang agarang pag-patch ay hindi magagawa:

Mga apektadong bersyon: mga bersyong n8n na mas maaga sa 1.123.17 at 2.5.2, kung saan inilabas na ang mga pag-aayos.

Mga inirerekomendang pagpapagaan: paghigpitan ang paglikha at pag-edit ng daloy ng trabaho sa mga ganap na pinagkakatiwalaang user, at i-deploy ang n8n sa isang pinatibay na kapaligiran na may mga limitadong pribilehiyo ng operating system at limitadong access sa network.

Itinatampok ng isyung ito ang pangangailangan ng mga layered validation strategies. Ang mga garantiya sa compile-time ay dapat na may kasamang mahigpit na runtime checks, lalo na kapag humahawak ng mga hindi mapagkakatiwalaang input. Ang mga pagsusuri ng code ay dapat tumuon sa mga sanitization routine at iwasan ang mga pagpapalagay tungkol sa mga uri ng input na hindi ipinapatupad sa runtime.

Karagdagang mga Kahinaan sa n8n na may Mataas na Kalubhaan

Kasama ng CVE-2026-25049, naglathala ang n8n ng mga babala para sa apat na karagdagang depekto sa seguridad, dalawa sa mga ito ay na-rate na kritikal:

CVE-2026-25053 (CVSS 9.4) : Pag-iniksyon ng utos ng operating system sa Git node, na nagpapahintulot sa mga na-authenticate na user na may mga pahintulot sa workflow na magpatupad ng mga utos o magbasa ng mga arbitraryong file; naayos sa mga bersyon 2.5.0 at 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Nakaimbak na kahinaan sa cross-site scripting sa isang markdown rendering component, na nagbibigay-daan sa pagpapatupad ng script na may mga pribilehiyong may parehong pinagmulan at potensyal na pag-takeover ng account; naayos sa mga bersyon 2.2.1 at 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Isyu sa pagtawid sa landas sa SSH node na maaaring humantong sa mga pagsusulat ng file sa mga hindi inaasahang lokasyon at posibleng malayuang pagpapatupad ng code sa mga target na sistema; naayos na sa mga bersyon 2.4.0 at 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Kahinaan sa pagsulat ng arbitraryong file sa SQL Query mode ng Merge node, na posibleng magresulta sa remote code execution; naayos na sa mga bersyon 2.4.0 at 1.118.0.

Mag-update Nang Madali upang Mabawasan ang Panganib

Dahil sa lawak at tindi ng mga natukoy na kahinaan, lubos na inirerekomenda ang pag-update ng mga n8n deployment sa pinakabagong bersyon. Ang agarang pag-patch ay nananatiling pinakamabisang depensa laban sa pagsasamantala at kasunod na pagkakompromiso.