Исследователи из компании по обеспечению безопасности Cyera обнаружили критическую уязвимость в платформе для автоматизации рабочих процессов n8n. Она позволяет злоумышленникам выполнять произвольный код, что, по мнению экспертов, может привести к полному захвату контроля над скомпрометированной средой.
Серьёзные последствия
Согласно отчёту об исследовании, уязвимость затрагивает 100 000 серверов. Уязвимости присвоен наивысший балл CVSS — 10,0, и она обозначена как CVE-2026-21858. Специалисты по безопасности предупреждают о массовых последствиях этой лазейки.
n8n — это широко распространённый инструмент автоматизации с открытым исходным кодом. Его используют многие компании для интеграции чат-приложений, форм, облачных хранилищ, баз данных и сторонних API. Как видно из базы данных NPM, соответствующий пакет в настоящее время загружается около 60 000 раз в неделю.
В системах n8n часто можно обнаружить информацию, которая позволяет получать доступ к внутренним корпоративным данным в Google Drive, Salesforce или платёжным сервисам, а также ключи API, токены OAuth, клиентские данные, конвейеры CI/CD, — поясняют исследователи Cyera.
Как работает атака
По словам экспертов по безопасности, причина проблемы кроется в том, как n8n обрабатывает веб-хуки. Они запускают рабочие процессы при поступлении данных из внешних систем, таких как веб-формы, платформы обмена сообщениями или службы уведомлений. Используя так называемую ошибку «Content-Type Confusion» (замешательство типов содержимого), злоумышленники могут манипулировать HTTP-заголовками и перезаписывать внутренние переменные, используемые приложением. Это позволяет читать произвольные файлы из базовой системы и инициировать атаку RCE (удалённое выполнение кода).
Исследователи продемонстрировали атаку, которую они назвали Ni8mare, на примере базы знаний, которая может пополняться загружаемыми файлами. Таким образом, атакующие могут использовать эту лазейку для внедрения учётных данных и последующего получения прав администратора.
По собственным данным, Cyera уведомила разработчиков n8n об уязвимости ещё в ноябре 2025 года. В ответ была выпущена заплатка в версии 1.121.0.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Qual-score: 8/9
Bajan-score: 0.849171102
Автор – Julia Mutzbauer
