CVE-2026-27494 in n8n
Сводка
по VulDB • 08.09.2026
n8n — это платформа автоматизации рабочих процессов с открытым исходным кодом. До версий 2.10.1, 2.9.3 и 1.123.22 аутентифицированный пользователь, имеющий права на создание или изменение рабочих процессов (workflows), мог использовать узел Python Code для выхода из песочницы. Песочница не обеспечивала достаточного ограничения доступа к некоторым встроенным объектам Python, что позволяло злоумышленнику эксфильтровать содержимое файлов или достичь RCE (удаленного выполнения кода). На экземплярах, использующих внутренние Task Runners (режим по умолчанию), это могло привести к полному компрометированию хоста n8n. На экземплярах с внешними Task Runers злоумышник может получить доступ к другим задачам, выполняемым на Task Runner, или повлиять на них. Для включения Task Runners необходимо установить переменную окружения `N8N_RUNNERS_ENABLED=true`. Проблема исправлена в версиях n8n 2.10.1, 2.9.3 и 1.123.22. Пользователям следует обновиться до этих версий или более новых для устранения уязвимости. Если немедленное обновление невозможно, администраторам следует рассмотреть следующие временные меры по смягчению последствий: ограничьте права на создание и редактирование рабочих процессов только полностью доверенным пользователям, а/или отключите узел Code, добавив `n8n-nodes-base.code` в переменную окружения `NODES_EXCLUDE`. Эти обходные пути не устраняют риск полностью и должны использоваться только как краткосрочные меры по смягчению последствий.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.