Критическая уязвимость безопасности в n8n
Нам стало известно в ноябре о критической уязвимости безопасности, затрагивающей n8n версии 1.65–1.120.4. Эта проблема была исправлена в n8n версии 1.121.0 и выпущена для всей нашей клиентской базы 18 ноября 2025 года. Мы связываемся с вами, чтобы убедиться, что пользователи с самостоятельным размещением (self‑hosted) обладают всей необходимой информацией для защиты своих инстансов.
Что произошло
Сообщённая уязвимость затрагивает определённые сценарии (workflows), основанные на веб‑формах. Уязвимый сценарий мог предоставить доступ неаутентифицированному удалённому атакующему. Это потенциально могло привести к раскрытию информации, хранящейся в системе, и в зависимости от конфигурации развертывания и использования сценариев — к дальнейшему компромету системы.
Инстанс n8n потенциально уязвим, если в нём есть активный сценарий со следующими условиями: используется триггер Form Submission, принимающий элемент файла, и узел Form Ending, возвращающий двоичный файл. Из-за некорректной проверки входных данных такой сценарий мог, при определённых ограниченных условиях, теоретически быть использован для получения прав на чтение файловой системы сервера. Уязвимый сценарий мог эксплуатироваться атакующим, который имеет доступ к форме, включая неаутентифицированных пользователей.
Потенциальное воздействие
Кто затронут:
- Самостоятельно размещённые (self‑hosted) инстансы, работающие на версиях 1.65–1.120.4
- Если вы используете любую версию ветки 2.x (включая любые RC/beta), у вас уже есть это исправление безопасности
- Облачные (Cloud) инстансы обновляются. Вы также можете запустить обновление из своей Cloud‑панели.
Если эта уязвимость будет эксплуатирована, это может привести к:
- В определённых конфигурациях — повышению привилегий внутри инстанса n8n
- Несанкционированному доступу к конфиденциальной информации, хранящейся в вашем инстансе n8n
Обязательные действия
- Если вы используете версию 1.65–1.120.4: как можно скорее обновите ваш инстанс n8n до версии 1.121.0 (или более новой). Эта версия содержит необходимые исправления безопасности.
- Если вы используете любую версию 2.x (включая RC/beta): никаких действий не требуется — у вас уже есть это исправление безопасности.
Если вы ещё не используете n8n в облаке или хотите изолировать рабочие процессы в отдельной среде, удобным вариантом будет аренда своего сервера с n8n. Это позволит быстро развернуть защищённый инстанс, гибко управлять обновлениями, ресурсами и правами доступа, а также оперативно применять патчи безопасности без сложной ручной конфигурации инфраструктуры.
FAQ
Затронут ли мой инстанс n8n?
Ваш инстанс затронут, если вы используете версию 1.65–1.120.4 и у вас есть активный сценарий, который одновременно содержит:
- Триггер Form Submission, принимающий элемент файла, и
- Узел Form Ending, возвращающий двоичный файл
Если вы используете версию 1.121.0 или более позднюю, либо любую версию ветки 2.x, ваш инстанс не затронут. Если вы клиент Cloud, мы обновим и защитим ваш инстанс в течение ближайших 12 часов. Вы также можете самостоятельно запустить обновление из своей Cloud‑панели. Вы можете запустить этот шаблон сценария (workflow template), чтобы просканировать ваш инстанс на наличие потенциально уязвимых сценариев.
Как отслеживать релизы n8n?
Ознакомьтесь с нашими заметками о релизах (release notes) здесь — каждая запись также содержит ссылки на коммиты в GitHub с подробной информацией.
Как отслеживать CVE для n8n?
Мы публикуем наши CVE на GitHub.
Как n8n относится к вопросам безопасности?
Мы занимаем активную позицию в сфере безопасности через нашу программу раскрытия уязвимостей (Vulnerability Disclosure Program). Мы в приоритетном порядке реагируем на сообщения об уязвимостях, а также на проблемы, выявленные нами самостоятельно, и привержены принципам прозрачного раскрытия.
Почему, если проблема была исправлена 18 ноября, о ней сообщается только сейчас?
Мы хотели убедиться, что исправления были выпущены, и предоставить нашим клиентам возможность обновиться в удобное для них время. Мы также стремились снизить риск массовых атак, которые, скорее всего, произошли бы, если бы не было доступных мер по смягчению последствий. Ответственное раскрытие — важная часть нашей работы, и такой подход позволил нам действовать более проактивно, а не реактивно, параллельно реагируя на различные другие отчёты об ошибках, которые мы получили с момента запуска нашей программы раскрытия уязвимостей.
Мы ценим ваше оперативное внимание к этому обновлению безопасности. n8n поддерживает проактивные стандарты безопасности за счёт непрерывного мониторинга, регулярного тестирования на проникновение и программы ответственного раскрытия. Данная публикация является частью нашей приверженности прозрачности.
Полезные ссылки
- Заказ услуг по автоматизации
- Виртуальный хостинг Beget
- Аренда сервера с n8n
- Аренда VPN сервера от Beget
- Syntx AI — все нейросети тут
- Виртуальные карты для оплаты AI
Наши соц. сети
- Telegram канал ProDelo
- Общий чат ProDelo
- Бесплатный курс по n8n
- Наш Youtube канал
- Наш Яндекс Дзен канал
- Наша группа в ВК
