Automatisierungs-Tool n8n: Angreifer können Schadcode einschleusen

Im KI-gestützten Prozessautomatisierungs-Tool n8n haben IT-Forscher elf Schwachstellen entdeckt. Angreifer können dadurch etwa Schadcode einschleusen und ausführen. Aktualisierte Versionen schließen die Sicherheitslücken. Admins sollten rasch aktualisieren.

Von den drei als kritisch eingestuften Sicherheitslücken basiert die erste darauf, dass angemeldete User mit der Berechtigung, Workflows zu erstellen oder zu modifizieren, den SQL-Query-Modus nutzen können, um beliebigen Code auf dem n8n-Server auszuführen oder beliebige Dateien darauf abzulegen (CVE-2026-27497, CVSS4 9.4, Risiko „kritisch“). Ebenso können derartige Nutzer manipulierte Ausdrücke in Workflow-Parametern zum Starten von Systembefehlen auf dem n8n-Hostsystem missbrauchen; es handelt sich um einen Ausbruch aus der Sandbox für derartige Expressions, die in der Ausführung von Code aus dem Netz münden kann (CVE-2026-27577, CVSS4 9.4, Risiko „kritisch“). Im JavaScript-Task-Runner können Nutzer zudem aus der Sandbox ausbrechen und beliebigen Code außerhalb der Sandbox ausführen. In der Standardeinstellung kann das in vollständige Kompromittierung des n8n-Hosts führen (CVE-2026-27495, CVSS4 9.4, Risiko „kritisch“).

n8n: Fehlerbereinigte Versionen

Die Versionen 2.10.1, 2.9.3 und 1.123.22 sowie neuere Fassungen von n8n stopfen die Sicherheitslecks. Die sind unter anderem über die Release-Ankündigungen im n8n-GitHub-Repository erhältlich. Wer n8n als Docker-Container nutzt, kann in der Docker-Verwaltung die Aktualisierung vornehmen.

Die neuen n8n-Versionen schließen zudem weitere Sicherheitslücken:

• Stored XSS via Various Nodes (CVE-2026-27578, CVSS4 8.5, Risiko „hoch“)
• Unauthenticated Expression Evaluation via Form Node (CVE-2026-27493, CVSS4 laut NIST 9.5, Einstufung aufgrund der Ausnutzbarkeit jedoch nur als „hoch“)
• Authentication Bypass in Chat Trigger Node (kein CVE, CVSS 6.3, Risiko „mittel“)
• n8n Guardrail Node Bypass (kein CVE, CVSS4 6.3, Risiko „mittel“)
• Webhook Forgery on Github Webhook Trigger (kein CVE, CVSS4 6.3, Risiko „mittel“)
• Webhook Forgery on Zendesk Trigger (kein CVE, CVSS4 6.3, Risiko „mittel“)
• SSO Enforcement Bypass (kein CVE, CVSS4 6.0, Risiko „mittel“)
• SQL Injection in MySQL, PostgreSQL, and Microsoft SQL nodes (kein CVE, CVSS4 5.3, Risiko „mittel“)

Anfang Februar hat das n8n-Projekt ebenfalls teils kritische Sicherheitslücken geschlossen. Damals sogar sechs an der Zahl, vier weitere galten als hohes Risiko.

(dmk)