CVE-2026-27495 in n8n
Сводка
по VulDB • 08.09.2026
n8n — это платформа для автоматизации рабочих процессов с открытым исходным кодом. До версий 2.10.1, 2.9.3 и 1.123.22 аутентифицированный пользователь, имеющий права на создание или изменение рабочих процессов (workflows), мог эксплуатировать уязвимость в песочнице JavaScript Task Runner для выполнения произвольного кода за пределами границ этой песочницы. На экземплярах, использующих внутренние Task Runners (режим по умолчанию), это могло привести к полному компрометации хоста n8n. В случаях использования внешних Task Runners злоумышленник может получить доступ или оказать влияние на другие задачи, выполняемые в Task Runner. Для включения Task Runners необходимо использовать параметр `N8N_RUNNERS_ENABLED=true`. Проблема исправлена в версиях n8n 2.10.1, 2.9.3 и 1.123.22. Пользователям следует обновиться до одной из этих версий или более поздних для устранения уязвимости. Если немедленное обновление невозможно, администраторам следует рассмотреть следующие временные меры по снижению рисков (mitigations). Ограничьте права на создание и редактирование рабочих процессов только полностью доверенным пользователям, а/или используйте внешний режим работы (`N8N_RUNNERS_MODE=external`), чтобы ограничить радиус поражения. Эти обходные пути не устраняют риск полностью и должны использоваться только как краткосрочные меры по снижению рисков.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.