CVE-2026-27494

n8n açıq mənbəli iş axını avtomatlaşdırma platformasıdır. 2.10.1, 2.9.3 və 1.123.22 versiyalarından əvvəl, iş axınlarını yaratmaq və ya dəyişdirmək icazəsi olan autentifikasiya olunmuş istifadəçi Python Code düyünündən istifadə edərək qum qutusundan (sandbox) çıxa bilirdi. Qum qutusu müəyyən daxili Python obyektlərinə girişi kifayət qədər məhdudlaşdırmırdı ki, bu da hücumçuya fayl məzmununu sızdırmağa və ya uzaqdan kodun icrasına (RCE) nail olmağa imkan verirdi. Daxili Task Runner-lərdən (defolt runner rejimi) istifadə edən nümunələrdə bu, n8n hostunun tam kompromisə uğramasına səbəb ola bilərdi. Xarici Task Runner-lərdən istifadə edən nümunələrdə hücumçu Task Runner-də icra olunan digər tapşırıqlara giriş əldə edə və ya onlara təsir göstərə bilərdi. Task Runner-lər `N8N_RUNNERS_ENABLED=true` vasitəsilə aktivləşdirilməlidir. Problem n8n-in 2.10.1, 2.9.3 və 1.123.22 versiyalarında düzəldilmişdir. İstifadəçilər boşluğu aradan qaldırmaq üçün bu versiyalara və ya daha yenilərinə yüksəltmə etməlidirlər. Yüksəltmə dərhal mümkün deyilsə, administratorlar aşağıdakı müvəqqəti yüngülləşdirmə tədbirlərini nəzərdən keçirməlidirlər: iş axınının yaradılması və redaktə edilməsi icazələrini yalnız tam etibarlı istifadəçilərlə məhdudlaşdırın və/və ya `NODES_EXCLUDE` mühit dəyişəninə `n8n-nodes-base.code` əlavə edərək Code düyününü deaktiv edin. Bu alternativ həllər riski tamamilə aradan qaldırmır və yalnız qısamüddətli yüngülləşdirmə tədbirləri kimi istifadə edilməlidir.