n8n: Path Traversal im n8n-Node über nicht validierte Ressourcen-IDs
Zusammenfassung
Der integrierte n8n-Node von n8n erstellt Pfade für Public-API-Anfragen aus einer vom Aufrufer gelieferten Ressourcen-ID, ohne diese zu kodieren oder zu validieren. Ein Angreifer, der einen ID-Wert kontrolliert, der an den Node übergeben wird, kann API-Aufrufe auf unbeabsichtigte Ressourcen innerhalb des Geltungsbereichs des hinterlegten API-Schlüssels umleiten. So können Workflows, Ausführungen und Credential-Geheimnisse offengelegt oder verändert werden; laut Hersteller setzt dies einen Workflow voraus, der das ID-Feld an unvertrauenswürdige Eingaben bindet.
Betroffen
- n8n vor 1.123.80
- n8n 2.0.0 vor 2.39.6
- n8n 2.40.0 vor 2.40.1
Behoben in
- Auf n8n 1.123.80, 2.39.6 oder 2.40.1 (oder neuer) aktualisieren.
- Cloud-Instanzen werden laut Hersteller automatisch gepatcht.
Umgehung
- Den Zugriff auf die Instanz auf vollständig vertrauenswürdige Benutzer beschränken.
- Workflows mit dem n8n-Node prüfen und sicherstellen, dass ID-Felder nicht an unvertrauenswürdige oder externe Eingaben gebunden sind.
- Öffentliche Webhook-Endpunkte, die Workflows mit dem n8n-Node speisen, bis zum Patch einschränken oder deaktivieren.
- API-Credentials prüfen und rotieren, die möglicherweise über solche Workflows offengelegt wurden.
- Diese Massnahmen sind nur kurzfristig wirksam und beheben das Risiko nicht vollständig.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden; laut einem Aggregator nicht im CISA-KEV-Katalog.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Der CVSS-Vektor enthält E:P (Proof-of-Concept), es wurde jedoch kein öffentlicher Exploit-Code gefunden.
- Unbekannt: ob ein privater Exploit existiert und ob Scans beobachtet wurden.
Unsere Empfehlung
- Alle n8n-Instanzen (selbst gehostet und Cloud) inventarisieren und deren Versionen prüfen.
- Selbst gehostete Instanzen zuerst auf eine korrigierte Version aktualisieren.
- Workflows prüfen, in denen IDs aus Webhooks, Formularen oder anderen externen Eingaben stammen.
- API-Schlüssel und Credentials auf Instanzen rotieren, die während der Verwundbarkeit exponiert waren.
- Hinweis: CVSS-4.0-Wert 8.1 laut Hersteller- bzw. NVD-Eintrag; einige Drittanbieter-Seiten nennen abweichende Werte.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-89p4-6h98-c7xm github.com
- VulnCheck advisory www.vulncheck.com
- OSV CVE-2026-103257 osv.dev
- n8n community security update community.n8n.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.