16 Sicherheitslücken gefährden IT-Umgebungen, in denen n8n zur Workflow-Automatisierung läuft. Der Großteil der Schwachstellen ist mit dem Bedrohungsgrad „hoch“ eingestuft. Angreifer können im schlimmsten Fall die volle Kontrolle über Systeme erlangen. Mittlerweile haben die Entwickler reparierte Versionen zum Download gestellt.
Nach erfolgreichen Attacken können Angreifer unter bestimmten Voraussetzungen unter anderem die Kontrolle über Accounts erlangen, aus der Expression-Sandbox ausbrechen oder Schadcode ausführen. Admins sollten sicherstellen, dass die aktuelle n8n-Ausgabe 2.31.5 installiert ist, um Instanzen vor möglichen Attacken zu schützen. Bislang gibt es keine Berichte, dass Angreifer die Softwareschwachstellen bereits ausnutzen.
Die Warnmeldungen finden sich auf GitHub. Diesen Einträgen zufolge wurden bislang noch keine CVE-Nummern für die Schwachstellen vergeben. Einstufungen des Bedrohungsgrads sind aber schon verfügbar.
Geschlossene Lücken
Ist einem Beitrag zufolge die Funktion Embed Login aktiviert und mindestens ein vertrauenswürdiger Schlüssel konfiguriert, können Angreifer an einer Schwachstelle ansetzen, um die Kontrolle über Accounts zu erlangen. Das klappt, weil Tokens nicht ausreichend überprüft werden. Können Angreifer so auf einen Adminaccount zugreifen, ist davon auszugehen, dass sie im Anschluss die komplette Instanz kompromittieren.
