n8n Otomasyon Platformundaki Güvenlik Açıkları
n8n çalışma otomasyon platformunda tespit edilen iki kritik güvenlik açığı, kötü niyetli kullanıcıların uzaktan sistem komutları çalıştırmasına olanak tanıyacak şekilde tasarlandı. Bu zafiyetler, kullanıcıların verilerini ve sistemlerini riske atabilir, bu nedenle acilen ele alınmalıdır.
Etkilenen Sistemler
Aşağıda n8n platformundaki güvenlik açıkları listelenmiştir:
- CVE-2026-27577 (CVSS puanı: 9.4) – İfade sandbox’ı kaçışı sonucunda uzaktan kod yürütme (RCE)
- CVE-2026-27493 (CVSS puanı: 9.5) – n8n’nin Form düğümleri aracılığıyla kimlik doğrulaması gerektirmeyen ifade değerlendirmesi
Bu zafiyetlerden ilki, n8n’nin ifade derleyicisinde tespit edilen bir sandbox kaçışıdır. İkinci zafiyet ise, kimlik doğrulaması gerekli olmaksızın kamuya açık “İletişim” formlarını kullanarak üçüncü tarafların zararlı içerik göndermesine olanak tanımaktadır.
Saldırı Nasıl Çalışıyor?
CVE-2026-27577, akredite kullanıcıların n8n üzerinde iş akışlarını oluşturma veya değiştirme izni varsa, istenmeyen sistem komutlarının çalıştırılmasına neden olabilir. Şu koşullarda, bir kullanıcı sadece formun “İsim” alanına dışsal bir yük girerek sistem üzerinde zararlı komutlar çalıştırabilir.
Çözüm ve Korunma
n8n, izinsiz erişimi ve zafiyetleri önlemek için aşağıdaki tedbirleri önermektedir:
- Form düğümlerinin kullanımını gözden geçirin.
- Form düğümünü devre dışı bırakmak için n8n-nodes-base.form parametresini NODES_EXCLUDE ortam değişkenine ekleyin.
- Form Tetikleyici düğümünü devre dışı bırakmak için n8n-nodes-base.formTrigger parametresini NODES_EXCLUDE ortam değişkenine ekleyin.
Bu önlemler kalıcı çözüm sunmadığından, sadece geçici tedbir olarak dikkate alınmalıdır. Kullanıcıların CVE-2026-27577 ve CVE-2026-27493 ile ilgili zafiyetlerin önlenmesi adına güncellemeleri takip etmeleri önerilmektedir.
Ayrıca, sistemlerinizi daha güvenli bir hale getirmek için şu adımları izleyebilirsiniz:
- CVE-2026-27495 için: Harici çalışma modunu kullanarak (N8N_RUNNERS_MODE=external) riski azaltın.
- CVE-2026-27497 için: Birleştirme düğümünü devre dışı bırakmak için n8n-nodes-base.merge parametresini NODES_EXCLUDE ortam değişkenine ekleyin.
Kötü niyetli kullanıcıların bu açıkları kötüye kullanabileceği ihtimali göz önünde bulundurulduğunda, sistemlerinizi güncel tutmak en etkili korunma yöntemidir.
