Hàng loạt lỗ hổng nghiêm trọng trong n8n có thể dẫn tới chiếm toàn bộ máy chủ

[WhiteHat Team]

Nền tảng tự động hóa quy trình mã nguồn mở phổ biến n8n vừa ghi nhận hàng loạt lỗ hổng an ninh mạng ở mức độ nghiêm trọng. Các chuyên gia cảnh báo rằng kẻ tấn công có thể kết hợp những điểm yếu này thành một chuỗi khai thác hoàn chỉnh, từ đó giành quyền thực thi mã từ xa và kiểm soát toàn bộ máy chủ đích. Điều đáng ngại là rủi ro có thể bắt nguồn từ chính các tài khoản đặc quyền thấp nhưng được cấp quyền chỉnh sửa workflow trong hệ thống.
​

Ba lỗ hổng được định danh gồm CVE-2026-44789, CVE-2026-44790 và CVE-2026-44791, ảnh hưởng tới các node HTTP Request, Git và XML, những thành phần được sử dụng phổ biến trong các workflow tự động hóa của doanh nghiệp. Theo các nhà nghiên cứu, kẻ tấn công không cần quyền quản trị cao để khai thác mà chỉ cần khả năng chỉnh sửa workflow là đã có thể từng bước leo thang quyền truy cập, mở rộng phạm vi kiểm soát và cuối cùng chiếm toàn bộ hệ thống chạy n8n.

Đáng chú ý nhất là CVE-2026-44789 tồn tại trong HTTP Request node. Lỗ hổng bắt nguồn từ việc xử lý không an toàn các tham số phân trang, tạo điều kiện cho kỹ thuật prototype pollution, một dạng tấn công cho phép sửa đổi prototype của các đối tượng JavaScript trên phạm vi toàn cục. Với Node.js, đây là kiểu lỗi đặc biệt nguy hiểm vì có thể làm thay đổi hành vi của ứng dụng, mở đường cho việc chèn dữ liệu độc hại hoặc thực thi mã tùy ý trên máy chủ. Mức độ rủi ro càng tăng cao khi n8n thường được sử dụng để kết nối API bên ngoài, cơ sở dữ liệu nội bộ, dịch vụ cloud và nhiều hệ thống vận hành quan trọng khác. Chỉ một workflow bị khai thác cũng có thể trở thành bàn đạp để tin tặc di chuyển sâu hơn vào hạ tầng doanh nghiệp.

Ngoài ra, CVE-2026-44790 ảnh hưởng tới Git node thông qua lỗi chèn tham số dòng lệnh. Kẻ tấn công có thể đưa các tham số độc hại vào quá trình Git push để đọc tệp tùy ý trên máy chủ. Điều này khiến nhiều dữ liệu nhạy cảm như tệp cấu hình, biến môi trường, khóa API và thông tin xác thực nội bộ đứng trước nguy cơ bị lộ lọt. Trong nhiều trường hợp thực tế, chỉ cần truy cập được các file cấu hình quan trọng cũng đủ để kẻ tấn công tiếp tục leo thang đặc quyền và tiến tới kiểm soát toàn bộ hệ thống.

CVE-2026-44791 trong XML node cũng được đánh giá đặc biệt nguy hiểm do liên quan tới lỗi vượt qua bản vá bảo mật trước đó. Dù một lỗ hổng tương tự đã từng được khắc phục, các nhà nghiên cứu phát hiện vẫn tồn tại đường khai thác thay thế cho phép tiếp tục thực hiện kỹ thuật prototype pollution. Khi kết hợp với các node dễ bị tấn công khác, lỗ hổng này có thể hoàn thiện toàn bộ chuỗi khai thác dẫn tới thực thi mã từ xa, khiến nhiều hệ thống tưởng đã được bảo vệ thực tế vẫn còn phơi nhiễm trước nguy cơ bị xâm nhập.

Theo các nhà nghiên cứu, những lỗ hổng này có thể được kết hợp thành một chuỗi tấn công hoàn chỉnh, cho phép kẻ tấn công đi từ quyền chỉnh sửa workflow thông thường đến kiểm soát toàn bộ máy chủ chỉ trong thời gian ngắn Các phiên bản n8n trước 1.123.43, 2.20.7 và 2.22.1 đều bị ảnh hưởng. Nhà phát triển đã phát hành bản vá cho các phiên bản mới hơn và khuyến nghị người dùng cập nhật ngay lập tức.

Nếu chưa thể cập nhật ngay, quản trị viên nên hạn chế quyền tạo và chỉnh sửa workflow, đồng thời tạm thời vô hiệu hóa các node có nguy cơ bị khai thác như HTTP Request, Git và XML thông qua biến môi trường cấu hình của n8n. Dù vậy, đây chỉ là giải pháp giảm thiểu rủi ro trong ngắn hạn và không thể thay thế hoàn toàn cho việc cập nhật bản vá.

​