CVE-2026-27495 in n8n
Zusammenfassung
von VulDB • 09.07.2026
n8n ist eine Open-Source-Plattform zur Workflow-Automatisierung. Vor den Versionen 2.10.1, 2.9.3 und 1.123.22 konnte ein authentifizierter Benutzer mit der Berechtigung zum Erstellen oder Ändern von Workflows eine Schwachstelle im Sandbox-Mechanismus des JavaScript Task Runners ausnutzen, um beliebigen Code außerhalb der Sandboxing-Grenze auszuführen. Auf Instanzen, die interne Task Runner verwenden (Standard-Runner-Modus), kann dies zu einer vollständigen Kompromittierung des n8n-Hosts führen. Bei Instanzen mit externen Task Runnern könnte ein Angreifer Zugriff auf andere Aufgaben erhalten oder diese beeinträchtigen. Task Runner müssen über `N8N_RUNNERS_ENABLED=true` aktiviert werden. Das Problem wurde in den n8n-Versionen 2.10.1, 2.9.3 und 1.123.22 behoben. Benutzer sollten auf eine dieser Versionen oder höher aktualisieren, um die Schwachstelle zu beheben. Wenn ein Upgrade nicht sofort möglich ist, sollten Administratoren folgende vorübergehende Gegenmaßnahmen in Betracht ziehen: Beschränken Sie die Berechtigungen zum Erstellen und Bearbeiten von Workflows ausschließlich auf vollständig vertrauenswürdige Benutzer, und/oder verwenden Sie den externen Runner-Modus (`N8N_RUNNERS_MODE=external`), um das Schadensausmaß zu begrenzen. Diese Umgehungslösungen beheben das Risiko nicht vollständig und sollten nur als kurzfristige Minderungsmaßnahmen verwendet werden.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.