Критические уязвимости в платформе автоматизации n8n открывают путь к удалённому выполнению кода
Исследователи в области кибербезопасности раскрыли критические уязвимости в популярной платформе автоматизации рабочих процессов n8n. Обнаруженные и уже исправленные недостатки включают две серьёзные ошибки, позволяющие злоумышленникам выполнять произвольные команды на хост-системе. Открытие, сделанное исследователем Pillar Security Эйлоном Коэном, подчёркивает значительные риски в саморазмещаемых и облачных инструментах автоматизации, обрабатывающих конфиденциальные данные и учётные данные.
Первая уязвимость, зарегистрированная как CVE-2026-27577, представляет собой побег из песочницы в компиляторе выражений n8n. Согласно техническому отчёту, пропущенный случай в перезаписывателе абстрактного синтаксического дерева позволяет объекту `process` пройти без преобразования. Это упущение предоставляет любому аутентифицированному пользователю с возможностями оценки выражений полные привилегии для удалённого выполнения кода. Вторая ошибка, CVE-2026-27493, является ошибкой двойного вычисления в узлах Form Trigger платформы. Критично, что эти конечные точки форм по умолчанию являются публичными и не требуют аутентификации. Злоумышленник может использовать это, отправив специально созданную полезную нагрузку для внедрения выражений.
Консультационный документ n8n разъясняет пути эксплуатации. Аутентифицированный пользователь с правами на создание или изменение рабочих процессов может использовать CVE-2026-27577 для выполнения системных команд через сконструированные выражения. Более опасным является сочетание CVE-2026-27493 с уязвимостью побега из песочницы. Эта комбинация позволяет неаутентифицированному злоумышленнику использовать публичную форму для полного удалённого выполнения кода на сервере n8n, превращая простое внедрение в полный компрометац системы. Обе уязвимости затрагивают все режимы развёртывания.
Для организаций, которые не могут немедленно применить патчи, n8n предоставила срочные рекомендации по смягчению последствий. Для устранения CVE-2026-27577 администраторам следует строго ограничить права на создание и редактирование рабочих процессов только доверенными пользователями. Кроме того, критически важно развернуть n8n в усиленной среде с ограниченными привилегиями ОС. Для CVE-2026-27493 временные меры включают отключение публичных конечных точек форм, но это не является полным решением. Разработчики предупреждают, что патчи остаются единственным надёжным исправлением.
Раскрытие информации компанией Pillar Security подчёркивает растущую поверхность атаки по мере того, как платформы автоматизации, обрабатывающие критичные данные, становятся всё более распространёнными. Этот инцидент служит суровым напоминанием о необходимости строгого контроля доступа и своевременного обновления подобных систем.
