CVE-2026-27496 in n8n
Zusammenfassung
von VulDB • 02.06.2026
n8n ist eine Open-Source-Plattform zur Workflow-Automatisierung. Vor den Versionen 1.123.22, 2.9.3 und 2.10.1 konnte ein authentifizierter Benutzer mit der Berechtigung zum Erstellen oder Ändern von Workflows den JavaScript Task Runner verwenden, um nicht initialisierte Speicherbuffer zuzuweisen. Nicht initialisierte Buffer können Restdaten desselben Node.js-Prozesses enthalten – einschließlich Daten aus vorherigen Anfragen, Aufgaben, Geheimnissen oder Token – was zu einer Offenlegung sensibler, prozessinterner Daten führen kann. Task Runner müssen mit `N8N_RUNNERS_ENABLED=true` aktiviert werden. Im externen Runner-Modus beschränkt sich die Auswirkung auf Daten innerhalb des externen Runner-Prozesses. Das Problem wurde in den n8n-Versionen 1.123.22, 2.10.1 und 2.9.3 behoben. Benutzer sollten auf diese Version oder eine spätere Version aktualisieren, um die Schwachstelle zu beheben. Wenn ein Upgrade nicht sofort möglich ist, sollten Administratoren folgende vorübergehende Gegenmaßnahmen in Betracht ziehen: Die Berechtigungen zum Erstellen und Bearbeiten von Workflows nur vollständig vertrauenswürdigen Benutzern gewähren und/oder den externen Runner-Modus (`N8N_RUNNERS_MODE=external`) verwenden, um den Runner-Prozess zu isolieren. Diese Workarounds beheben das Risiko nicht vollständig und sollten nur als kurzfristige Abwehrmaßnahmen verwendet werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.