Mehrere Schwachstellen in n8n ermöglichen Ausführung von fremdem Code

Kernthema

Ein Angreifer kann mehrere Schwachstellen in der Open‑Source‑Automatisierungsplattform n8n ausnutzen, um beliebigen Programmcode auszuführen, vertrauliche Informationen offenzulegen und vorhandene Sicherheitsmaßnahmen zu umgehen.

Technische Details

Die betroffenen Komponenten umfassen fehlerhafte Eingabevalidierung, unsichere Deserialisierung und unzureichende Zugriffskontrollen. Durch gezielte Manipulation von Workflow‑Definitionen lässt sich Code in die Ausführungsumgebung injizieren.

Potenzielle Auswirkungen

Ein erfolgreicher Angriff kann zur vollständigen Übernahme des betroffenen Systems führen, Datenbestände offenbaren und interne Netzwerke kompromittieren. Darüber hinaus können automatisierte Prozesse manipuliert werden, um weitere Angriffe zu initiieren.

Betroffene Versionen

Laut dem Advisory sind alle Versionen von n8n bis einschließlich 0.215 von den genannten Schwachstellen betroffen. Neuere Versionen, die nach dem 15. Januar 2026 veröffentlicht wurden, enthalten bereits teilweise Gegenmaßnahmen.

Empfohlene Gegenmaßnahmen

Betreiber sollten unverzüglich auf die aktuelle Version 0.216 oder höher aktualisieren. Zusätzlich wird empfohlen, Eingaben streng zu prüfen, Netzwerkzugriffe auf die n8n‑Instanz zu beschränken und Monitoring‑Regeln für ungewöhnliche Prozessaktivitäten zu aktivieren.

Erkennungsmechanismen

Log‑Analyse kann Hinweise auf missbräuchliche Workflow‑Modifikationen liefern. Sicherheitslösungen sollten nach bekannten Signaturen für die betroffenen Schwachstellen suchen und Alarme auslösen, wenn verdächtige Systemaufrufe auftreten.

Veröffentlichungszeitpunkt

Der Sicherheits‑Advisory wurde am 20. Januar 2026 von CERT‑Bund veröffentlicht. Die Meldung enthält detaillierte Anweisungen zur Risikoabschätzung und zur Umsetzung von Patches.

Kontaktinformationen

Für Rückfragen steht das CERT‑Bund unter der im Advisory angegebenen E‑Mail‑Adresse zur Verfügung.

Dieser Bericht basiert auf Informationen von CERT-Bund, lizenziert unter Amtliches Werk gem. § 5 UrhG (Deutschland).