آسیب‌پذیری بحرانی n8n با شناسه CVE-2026-25049 امکان اجرای دستورات سیستمی از طریق گردش‌کارهای مخرب را فراهم می‌کند

یک آسیب‌پذیری امنیتی بحرانی جدید در پلتفرم اتوماسیون گردش کار n8n افشا شده که در صورت بهره‌برداری موفق، می‌تواند منجر به اجرای دستورات دلخواه سیستمی شود. این نقص با شناسه CVE-2026-25049 (امتیاز CVSS: 9.4) ثبت شده و ناشی از پاکسازی ناکافی است که محافظت‌های اعمال‌شده برای رفع آسیب‌پذیری CVE-2025-68613 (امتیاز CVSS: 9.9) را دور می‌زند. بر اساس اعلام نگهدارندگان n8n، یک کاربر احراز هویت شده با مجوز ایجاد یا تغییر گردش کار می‌تواند از عبارات طراحی‌شده در پارامترهای گردش کار سوءاستفاده کرده و اجرای دستورات سیستمی ناخواسته را در میزبان n8n فعال کند. این مشکل نسخه‌های قبل از 1.123.17 و 2.5.2 را تحت تأثیر قرار می‌دهد و ده محقق امنیتی از جمله فاتح چلیک، کریس استایکو از Endor Labs و ایلون کوهن از Pillar Security در کشف آن نقش داشته‌اند.

علاوه بر CVE-2026-25049، n8n هشدارهای امنیتی برای ۱۱ نقص دیگر منتشر کرده که پنج مورد آن بحرانی هستند، از جمله CVE-2026-21893 (تزریق دستور)، CVE-2026-25051 (آسیب‌پذیری XSS)، CVE-2026-25052 (آسیب‌پذیری TOCTOU در کنترل دسترسی فایل)، CVE-2026-25053 (تزریق دستور سیستم‌عامل در گره Git) و CVE-2026-25115 (شکست محیط ایمن پایتون). بهره‌برداری موفق از این آسیب‌پذیری‌ها می‌تواند به مهاجمان اجازه دهد سرور را به خطر بیندازند، اعتبارنامه‌ها را سرقت کنند، داده‌های حساس را استخراج کرده و بک‌دورهای دائمی نصب کنند. کاربران به‌شدت توصیه می‌شوند نمونه‌های خود را به آخرین نسخه به‌روزرسانی کنند و در صورت عدم امکان وصله فوری، مجوزهای ایجاد گردش کار را محدود کرده و n8n را در محیطی امن‌شده مستقر کنند.