Kritische n8n-Schwachstelle ermöglicht nicht authentifizierte Remote Code Execution (CVE-2026-21858)

Wichtige Erkenntnisse

• Eine kritische, nicht authentifizierte Remote Code Execution (RCE)-Schwachstelle (CVE-2026-21858, CVSS 10.0) betrifft n8n, eine weit verbreitete Workflow-Automatisierungsplattform.
  
• Die Schwachstelle ermöglicht eine vollständige Kompromittierung lokal bereitgestellter n8n-Instanzen, einschließlich willkürlichem Dateizugriff, Umgehung der Authentifizierung und Befehlsausführung.
  
• Das Problem wurde von Cyera Research Labs entdeckt und verantwortungsvoll offengelegt, die es „Ni8mare“ nannten, wobei kurz darauf Patches veröffentlicht wurden.
  
• Organisationen, die betroffene n8n-Versionen betreiben, sollten umgehend ein Upgrade durchführen und die Exposition von Formularen und Webhooks überprüfen.
  
• Jüngste Offenlegungen verdeutlichen, dass Automatisierungsplattformen aufgrund ihres Zugriffs auf Anmeldeinformationen, APIs und interne Systeme Angriffsflächen mit hohem Risiko darstellen.
  

Zusätzlich zu CVE-2026-21858 hat n8n im gleichen Zeitraum weitere kritische Schwachstellen offengelegt, einschließlich Problemen, die willkürlichen Dateizugriff und authentifizierte Remote Code Execution betreffen. Obwohl sich die Ursachen unterscheiden, unterstreichen sie gemeinsam die Bedeutung zeitnaher Upgrades und der Minimierung der Exposition von Workflow-Einstiegspunkten.

TL;DR: So prüfen Sie, ob Sie betroffen sind

Sie könnten betroffen sein, wenn Sie eine selbst gehostete n8n-Instanz mit einer Version innerhalb der von n8n offengelegten betroffenen Bereiche betreiben, insbesondere Versionen vor 1.121.0, und in einigen Fällen vor 1.121.3 abhängig von Konfiguration und aktivierten Funktionen. Das Risiko ist am höchsten, wenn Formulare oder Webhooks öffentlich zugänglich sind.

Option 1: Aikido nutzen (Kostenlos)

Aikido hilft Teams, Folgendes zu identifizieren:

• n8n-Instanzen, die anfällige Versionen ausführen
  
• Internet-exponierte Formulare und Webhooks
  
• Workflow-Konfigurationen, die die Ausnutzbarkeit erheblich erhöhen
  

Diese Transparenz ist in der kostenlosen Version der Aikido-Plattform verfügbar.

Option 2: Manuelle Überprüfung

• Überprüfen Sie Ihre laufende n8n-Version
  
• Prüfen Sie, ob Formular-Nodes unauthentifizierte Eingaben akzeptieren
  
• Überprüfen Sie die Exposition von /form- und /webhook-Endpunkten
  
• Überprüfen Sie aktivierte Nodes, die Dateizugriff oder Befehlsausführung erlauben
  

Abhilfemaßnahmen

Organisationen, die betroffene Versionen betreiben, sollten:

1. Führen Sie ein Upgrade von n8n auf Version 1.121.0 oder höher durch und gegebenenfalls auf 1.121.3
   
2. Beschränken Sie die unnötige Internet-Exposition von n8n
   
3. Verlangen Sie Authentifizierung für alle Formulare
   
4. Rotieren Sie API-Schlüssel, OAuth-Tokens und Anmeldeinformationen, die in Workflows gespeichert sind
   
5. Überprüfen Sie Workflow-Ausführungsprotokolle auf verdächtige Aktivitäten
   
6. Begrenzen oder deaktivieren Sie den Execute Command-Node, es sei denn, er ist unbedingt erforderlich
   

Wer ist betroffen

Sie könnten betroffen sein, wenn:

• Sie eine lokal bereitgestellte n8n-Instanz betreiben
  
• Ihre Version in die von n8n offengelegten betroffenen Bereiche fällt
  
• Sie Form- oder Webhook-Nodes für nicht vertrauenswürdige Benutzer exponieren
  

Während einige kürzlich offengelegte n8n-Schwachstellen einen authentifizierten Benutzer erfordern, beinhalten die schwerwiegendsten Angriffswege nicht authentifizierten Zugriff auf öffentlich exponierte Formulare oder Webhooks. Diese Probleme betreffen hauptsächlich selbst gehostete Bereitstellungen und weniger verwaltete SaaS-Umgebungen.

Hintergrund

n8n wird häufig eingesetzt, um Workflows über Cloud-Dienste, interne Tools, KI-Systeme und Geschäftsprozesse hinweg zu orchestrieren.

Deshalb hat eine einzelne n8n-Instanz oft weitreichenden Zugriff auf interne Systeme, privilegierte Anmeldeinformationen und Tokens sowie die Möglichkeit, Aktionen über verschiedene Umgebungen hinweg auszulösen. Dies macht Automatisierungsplattformen zu einem hochinteressanten Ziel für Angreifer.

Worum geht es bei dem Angriff?

CVE-2026-21858 nutzt eine Content-Type-Verwechslungsschwachstelle in der Art und Weise aus, wie n8n eingehende HTTP-Anfragen an Form-Webhooks parst.

Im Überblick:

• Das Verhalten der Anforderungsanalyse hängt vom Content-Type-Header ab
  
• Bestimmte Dateiverarbeitungslogik geht von Multipart-Uploads aus
  
• Angreifer können interne Dateireferenzen mithilfe manipulierten JSONs überschreiben
  

Dies erlaubt Angreifern:

• Beliebige Dateien von der Festplatte lesen
  
• Secrets und Datenbanken extrahieren
  
• Authentifizierungssitzungen fälschen
  
• Beliebige Befehle ausführen
  

Erste Auswirkungen

Laut Forschung von Cyera:

• Schätzungsweise 100.000 Server könnten weltweit exponiert sein
  
• Organisationen aus verschiedenen Branchen sind betroffen
  
• Potenziell exponierte Assets umfassen:
  
  • Cloud- und API-Anmeldeinformationen
    
  • OAuth-Tokens
    
  • CI/CD-Secrets
    
  • Sensible Geschäftsdaten
    

Technischer Deep Dive

Wo die Schwachstelle lag

Die Schwachstelle liegt im Form Webhook Node, der Dateiuploads verarbeitet.

Im Gegensatz zu anderen Webhook-Handlern erzwingt dieser Pfad keine strikte Validierung von Multipart-Inhalten, geht davon aus, dass interne Datei-Objekte vertrauenswürdig sind, und kopiert vom Angreifer kontrollierte Dateipfade in den persistenten Speicher.

Was es bewirken könnte

Durch die Verkettung dieser Schwachstelle können Angreifer:

• Dateien wie /etc/passwd lesen
  
• Die lokale SQLite-Datenbank extrahieren
  
• Verschlüsselungsschlüssel wiederherstellen
  
• Gültige Admin-Sitzungen fälschen
  
• Beliebige OS-Befehle ausführen
  

Proof of Concept (High-Level)

Cyera demonstrierte eine vollständige Kompromittierungskette:

1. Beliebiges Auslesen von Dateien über Formularübermittlung
   
2. Extraktion von Anmeldeinformationen und Geheimnissen aus der Datenbank
   
3. Sitzungsfälschung mittels wiederhergestellter Signaturmaterialien
   
4. Vollständige Remote Code Execution
   

Warum diese Schwachstellen auftreten

Diese Probleme treten typischerweise auf, wenn:

• Benutzereingaben vertrauenswürdige interne Objekte beeinflussen
  
• Content-Type-Annahmen implizit statt erzwungen sind
  
• Plattformen hohe Privilegien und weitreichende Konnektivität ansammeln
  
• Sicherheitshärtung der Funktionserweiterung hinterherhinkt
  

FAQ: Kritische n8n-Schwachstellen erklärt

Ist dies dasselbe Problem wie andere aktuelle n8n-CVEs?

Nein. CVE-2026-21858 ist eine nicht authentifizierte Remote Code Execution-Schwachstelle im Zusammenhang mit der unsachgemäßen Verarbeitung von Webhook- und Formularanfragen.

Andere aktuelle n8n-Sicherheitshinweise beschreiben unterschiedliche Probleme, einschließlich authentifizierter Schwachstellen, die willkürlichen Dateizugriff oder Dateischreibvorgänge ermöglichen. Obwohl technisch unterschiedlich, bergen sie ähnliche Risiken, wenn Workflow-Einstiegspunkte weit zugänglich sind.

Betrifft dies n8n Cloud oder nur selbst gehostete Bereitstellungen?

Dieses Problem betrifft hauptsächlich selbst gehostete n8n-Instanzen.

Die schwerwiegendsten Angriffswege basieren auf dem Zugriff auf lokale Dateien und Secrets auf Instanzebene, die in verwalteten Umgebungen nicht auf die gleiche Weise offengelegt werden.

Erfordert die Ausnutzung eine Authentifizierung?

Nein. Für CVE-2026-21858 ist keine Authentifizierung erforderlich, wenn anfällige Endpunkte exponiert sind.

Nicht authentifizierte Angriffswege stellen generell ein höheres Risiko dar, da sie remote und im großen Maßstab ausgenutzt werden können.

Bin ich nach einem Upgrade vollständig geschützt?

Das Upgrade auf die gepatchten Versionen behebt die bekannten Schwachstellen. Die Sicherheit hängt jedoch auch von der Konfiguration ab.

Teams sollten Upgrades mit reduzierter Exposition, authentifizierten Formularen und einer sorgfältigen Überprüfung risikoreicher Workflow-Knoten kombinieren.

Warum werden Automatisierungsplattformen häufiger angegriffen?

Automatisierungsplattformen verbinden viele Systeme und verwalten privilegierte Zugangsdaten. Die Kompromittierung einer Plattform kann den Zugriff auf mehrere nachgeschaltete Systeme ermöglichen, was sie zu attraktiven Zielen für Angreifer macht.

Wie hilft Aikido bei solchen Problemen?

Aikido unterstützt Teams dabei:

• Anfällige Automatisierungsplattformen in realen Umgebungen erkennen
  
• Exponierte Formulare, Webhooks und risikoreiche Workflow-Einstiegspunkte identifizieren
  
• Probleme basierend auf realen Exploit-Pfaden priorisieren, nicht nur auf der CVE-Schwere.
  
• Schnell handeln mit klarer Anleitung zur Behebung
  

Fazit

Diese Schwachstelle verdeutlicht eine umfassendere Realität. Automatisierungsplattformen sind zu kritischer Infrastruktur geworden.

Ihre Absicherung erfordert zeitnahes Patchen, reduzierte Exposition und Transparenz darüber, wie Schwachstellen in realen Umgebungen tatsächlich ausgenutzt werden können.

Anhang

• CVE: CVE-2026-21858
  
• Betroffene Versionen: Versionen vor 1.121.0 und in einigen Fällen vor 1.121.3
  
• Angriffstyp: Nicht authentifizierte Remote Code Execution
  
• Komponenten: Form-Webhook, Dateiverwaltung, Session Management
  

Referenzen

• Cyera Research Labs: Unauthentifizierte Remote Code Execution in n8n
  
• GitHub Security Advisories
  
• Aikido Intel

​