Вразливість CVE-2026-25049 n8n

Нещодавно виявлена вразливість безпеки в платформі автоматизації робочих процесів n8n дозволяє виконання довільних системних команд за певних умов. Уразливість відстежується як CVE-2026-25049 та має оцінку CVSS 9,4, що відображає її критичну серйозність. У разі успішного використання проблема дозволяє зловмисникам виконувати команди системного рівня на сервері, на якому розміщено n8n.

Обхід раніше виправленої вразливості

Вразливість CVE-2026-25049 виникає через недостатню санітарну очистку, яка обходить захист, запроваджений для усунення CVE-2025-68613 (CVSS 9.9), критичної вразливості, виправленої у грудні 2025 року. Подальший аналіз показав, що новіша CVE фактично є обходом оригінального виправлення, а не повністю окремою проблемою. Дослідники продемонстрували, що обидві вразливості дозволяють зловмисникам уникнути «пісочниці» виразів n8n та обійти існуючі перевірки безпеки. Після попереднього розкриття інформації також були виявлені та усунені додаткові слабкі місця в оцінці виразів.

Передумови атаки та механіка експлуатації

Будь-який автентифікований користувач з дозволом на створення або зміну робочих процесів може скористатися цією вразливістю. Вбудовуючи спеціально створені вирази в параметри робочого процесу, стає можливим ініціювати ненавмисне виконання системних команд. Особливо небезпечний сценарій пов'язаний зі створенням робочого процесу, який надає доступ до загальнодоступного вебхука без автентифікації. Вбудовуючи один рядок JavaScript за допомогою деструктуризуючого синтаксису, зловмисники можуть змусити робочий процес виконувати системні команди. Після активації такого робочого процесу будь-яка зовнішня сторона може запустити вебхук і виконати команди віддалено.

Серйозність ще більше зростає в поєднанні з функціональністю вебхука n8n, яка дозволяє публічно розкривати шкідливі робочі процеси. У таких випадках експлуатація не вимагає підвищених прав, окрім створення робочого процесу, що підкреслює ризик, який дослідники підсумували так: якщо створення робочого процесу дозволено, повна компрометація сервера можлива.

Першопричина: прогалини у впровадженні типів та зловживання під час виконання

Вразливість виникає через прогалини в механізмах санітарної обробки n8n та фундаментальну невідповідність між системою типів TypeScript під час компіляції та поведінкою JavaScript під час виконання. Хоча TypeScript застосовує обмеження типів під час компіляції, він не може гарантувати ці обмеження для значень, контрольованих зловмисником, введених під час виконання. Надаючи нерядкові значення, такі як об'єкти або масиви, зловмисники можуть обійти логіку санітарної обробки, яка передбачає лише рядковий вхід, фактично нейтралізуючи критичні засоби контролю безпеки.

Потенційний вплив на системи та дані

Успішна експлуатація може призвести до повної компрометації сервера. Зловмисники можуть викрасти облікові дані, витягнути конфіденційні дані, отримати доступ до файлової системи та внутрішніх служб, перейти до підключених хмарних середовищ та захопити робочі процеси штучного інтелекту. Можливість встановлення постійних бекдорів ще більше збільшує ризик довгострокового прихованого доступу.

Версії, на які поширюється проблема, та рекомендації щодо пом'якшення наслідків

Ця вразливість впливає на версії n8n, що стали ранішими за випущені виправлення, і була виявлена за участю десяти незалежних дослідників безпеки. Вона торкнулася наступних версій, а також рекомендованих тимчасових заходів для усунення вразливості, коли негайне встановлення виправлень неможливе:

Зачеплені версії: версії n8n старіші за 1.123.17 та 2.5.2, для яких було випущено виправлення.

Рекомендовані заходи щодо пом'якшення: обмежте створення та редагування робочих процесів повністю довіреними користувачами та розгорніть n8n у захищеному середовищі з обмеженими правами операційної системи та обмеженим доступом до мережі.

Ця проблема підкреслює необхідність багаторівневих стратегій валідації. Гарантії під час компіляції повинні доповнюватися суворими перевірками під час виконання, особливо під час обробки ненадійних вхідних даних. Перевірки коду повинні зосереджуватися на процедурах санітарної обробки та уникати припущень щодо типів вхідних даних, які не застосовуються під час виконання.

Додаткові вразливості n8n високого рівня серйозності

Поряд із CVE-2026-25049, n8n опублікував рекомендації щодо чотирьох додаткових недоліків безпеки, два з яких оцінюються як критичні:

CVE-2026-25053 (CVSS 9.4) : Впровадження команд операційної системи у вузол Git, що дозволяє автентифікованим користувачам з дозволами на робочий процес виконувати команди або читати довільні файли; виправлено у версіях 2.5.0 та 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Вразливість збереженого міжсайтового скриптингу в компоненті рендерингу Markdown, що дозволяла виконання скриптів з привілеями того ж походження та потенційне захоплення облікового запису; виправлено у версіях 2.2.1 та 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Проблема з обходом шляху у вузлі SSH, яка може призвести до запису файлів у непередбачувані місця та можливого віддаленого виконання коду на цільових системах; виправлено у версіях 2.4.0 та 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Вразливість до запису довільних файлів у режимі SQL-запитів вузла Merge, що потенційно призводила до віддаленого виконання коду; виправлено у версіях 2.4.0 та 1.118.0.

Терміново оновіть, щоб зменшити ризик

З огляду на широту та серйозність виявлених вразливостей, наполегливо рекомендується оновлювати розгортання n8n до останніх доступних версій. Швидке встановлення виправлень залишається найефективнішим захистом від експлуатації та подальшої компрометації.