A kiberbiztonsági kutatók egy kritikus súlyosságú sebezhetőséget azonosítottak az n8n munkafolyamat-automatizációs platformon. A CVE-2026-21858 azonosítón nyomon követett sérülékenység (CVSS pontszám: 10,0) az érintett n8n-példányok teljes kompromittálódásához vezethet. A sérülékenység a Ni8mare kódnevet kapta, és Dor Attias fedezte fel 2025. november 9-én.
Az n8n tájékoztatása szerint a hiba bizonyos Form-alapú munkafolyamatokhoz kapcsolódik, és lehetőséget ad az alatta futó kiszolgálón található fájlok elérésére. Egy sérülékeny munkafolyamat hitelesítés nélkül is kihasználható, ami érzékeny adatokhoz való jogosulatlan hozzáférést, valamint további kompromittációt tehet lehetővé a telepítési konfigurációtól és a munkafolyamatok használatától függően.
Az n8n a közelmúltban az alábbi négy kritikus sérülékenységet hozta nyilvánosságra:
- CVE-2025-68613 (CVSS pontszám: 9.9) – Dinamikusan kezelt kóderőforrások nem megfelelő ellenőrzése, amely bizonyos feltételek mellett hitelesített támadók számára lehetővé tehet távoli kódfuttatást (RCE). (Javítva az 1.120.4, 1.121.1 és 1.122.0 verziókban.)
- CVE-2025-68668 vagy N8scape (CVSS pontszám: 9.9) – Sandbox-bypass sérülékenység, amely lehetővé teheti egy hitelesített, munkafolyamatok létrehozására vagy módosítására jogosult felhasználó számára tetszőleges parancsok végrehajtását az n8n-t futtató hosztrendszeren. (Javítva a 2.0.0 verzióban.)
- CVE-2026-21877 (CVSS pontszám: 10.0) – Veszélyes fáljtípus korlátozás nélküli feltöltését lehetővé tevő sérülékenység, amely hitelesített támadó számára lehetővé teheti nem megbízható kód futtatását az n8n szolgáltatáson keresztül, ami az érintett példány teljes kompromittációját eredményezi. (Javítva az 1.121.3 verzióban.)
- CVE-2026-21858 (CVSS pontszám: 10.0) – Hitelesítés nélkül kihasználható sérülékenység, amely „Content-Type” confusion hibán alapul. A sebezhetőség kihasználása lehetővé teszi az érzékeny adatokhoz való hozzáférést, rendszergazdai jogosultságok megszerzését, valamint tetszőleges parancsokat futtatását.
A CVE-2026-21858 minden, az 1.65.0 verzióig bezárólag kiadott n8n-verziót érint, és az 1.121.0 verzióban került javításra.
A sérülékenység technikai háttere a webhook-kezeléshez és a HTTP request body feldolgozásához kapcsolódik. Az n8n a „Content-Type” fejléc alapján választ a parseFormData() és a parseBody() feldolgozási logikák között, azonban egyes fájlkezelő függvények esetében nem történik meg a megfelelő típusellenőrzés, így a req.body.files tartalma a támadó által manipulálhatóvá válik. Ennek következményeként tetszőleges lokális fájlok olvashatók ki az n8n-példányból.
A sérülékenységből eredő kockázatok csökkentése érdekében a felhasználók számára az alábbi intézkedések javasoltak:
- mielőbbi frissítés a javítást tartalmazó, illetve annál újabb n8n-verzióra,
- az n8n közvetlen internetes elérhetőségének elkerülése, valamint
- a hitelesítés kikényszerítése minden Form-alapú munkafolyamat esetében.
Átmeneti védelmi intézkedésként indokolt a nyilvánosan elérhető webhook- és űrlap-végpontok hozzáférésének korlátozása vagy teljes letiltása.
A Censys tájékoztatása szerint jelenleg 26 512 nyilvánosan elérhető n8n hoszt figyelhető meg, amelyek döntő többsége az Egyesült Államokban (7 079), Németországban (4 280), Franciaországban (2 655), Brazíliában (1 347) és Szingapúrban (1 129) található.
