CVE-2026-27494
Açıklama
n8n açık kaynaklı bir iş akışı otomasyon platformudur. 2.10.1, 2.9.3 ve 1.123.22 versiyonlarından önce, iş akışları oluşturma veya değiştirme yetkisine sahip kimliği doğrulanmış bir kullanıcı, Python Code düğümünü kullanarak sandbox'tan çıkabilirdi. Sandbox, belirli yerleşik Python nesnelerine erişimi yeterince kısıtlamıyordu; bu durum bir saldırganın dosya içeriklerini sızdırmasına veya RCE elde etmesine olanak tanıyordu. Dahili Task Runner'lar (varsayılan runner modu) kullanan örneklerde, bu durum n8n ana makinesinin tamamen ele geçirilmesiyle sonuçlanabilirdi. Harici Task Runner'lar kullanan örneklerde ise saldırgan, Task Runner üzerinde yürütülen diğer görevlere erişim sağlayabilir veya bunları etkileyebilirdi. Task Runner'ların `N8N_RUNNERS_ENABLED=true` kullanılarak etkinleştirilmesi gerekir. Sorun n8n 2.10.1, 2.9.3 ve 1.123.22 versiyonlarında düzeltilmiştir. Kullanıcılar, güvenlik açığını gidermek için bu versiyona veya daha yeni bir versiyona yükseltme yapmalıdır. Yükseltmenin hemen mümkün olmadığı durumlarda, yöneticiler aşağıdaki geçici hafifletme önlemlerini değerlendirmelidir: İş akışı oluşturma ve düzenleme izinlerini yalnızca tam güvenilen kullanıcılarla sınırlandırın ve/veya `NODES_EXCLUDE` ortam değişkenine `n8n-nodes-base.code` ekleyerek Code düğümünü devre dışı bırakın. Bu geçici çözümler riski tamamen gidermez ve yalnızca kısa vadeli hafifletme önlemleri olarak kullanılmalıdır.
Nasıl düzeltilir
- n8n n8n1.123.22, 2.9.3, 2.10.1 ya da sonraki bir sürüm
- n8n1.123.22, 2.9.3, 2.10.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.123.22, 2.0.0 ≤ v < 2.9.3, 2.10.0 ≤ v < 2.10.1 | 1.123.22, 2.9.3, 2.10.1 |
| n8nnpm | v < 1.123.22, 2.0.0 ≤ v < 2.9.3, 2.10.0 ≤ v < 2.10.1 | 1.123.22, 2.9.3, 2.10.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.