---

📖 Inhaltsverzeichnis

• Überblick
• Technische Details
• Schweregrad & CVSS
• Betroffene Versionen
• Auswirkungen
• Ausnutzung
• Erkennung
• Behebung
• Schadensbegrenzung
• Zusammenfassung

---

🔎 Überblick

CVE-2026-21858, mit dem Spitznamen „Ni8mare“, ist eine kritische Schwachstelle, die in n8n entdeckt wurde – einer weit verbreiteten Plattform zum Erstellen von Automatisierungs-Workflows (z. B. Automatisierung von API-Aufrufen, Integrationen, SaaS-Konnektoren).

Sie ermöglicht nicht authentifizierten Angreifern, mit unsachgemäß validierten Webhook-/Formular-Endpunkten zu interagieren und sich unbefugten Zugriff auf Dateien und interne Serverressourcen zu verschaffen.

Eine erfolgreiche Ausnutzung kann zu vollständiger Remote-Code-Ausführung (RCE) und zur vollständigen Übernahme der Instanz führen.

---

🧠 Technische Details

• Grundursache: Unsachgemäße Eingabevalidierung und Content-Type-Verwirrung in der Webhook-/Formular-Verarbeitungslogik.
• Angreifer können manipulierte HTTP-Anfragen senden, die das System dazu bringen, Dateiinhalte preiszugeben oder unsichere Workflows auszulösen.
• Der Fehler ermöglicht Angreifern:
  • Beliebige Dateien vom Host zu lesen
  • Sensitive Anmeldeinformationen und Token offenzulegen
  • Admin-Sitzungstoken zu fälschen
  • Workflow-Knoten (z. B. Execute Command) zu missbrauchen, um beliebige Betriebssystembefehle auszuführen
  • Die Serverinstanz vollständig zu kompromittieren

---

📊 Schweregrad & CVSS

Dies stellt den maximal möglichen Schweregrad für eine Remote-Code-Ausführung-Schwachstelle dar.

---

📦 Betroffene Versionen

Die Schwachstelle betrifft die Open-Source-n8n-Plattform:

= 1.65.0 und < 1.121.0

id="vsurvey1"

Alle selbst gehosteten Instanzen, die Versionen vor 1.121.0 ausführen, sind verwundbar.

---

🔥 Auswirkungen

Ein Angreifer, der diese Schwachstelle ausnutzt, kann:

• 🔓 Beliebige Systemdateien lesen
• 🔑 Datenbank-Anmeldeinformationen, API-Schlüssel, Token offenlegen
• 🔐 Authentifizierungssitzungen fälschen
• 🛠 Beliebige Systembefehle ausführen
• 💥 Die Host-Maschine vollständig kompromittieren
• ↔ In verbundene Systeme und Integrationen eindringen

Instanzen, die im öffentlichen Internet erreichbar sind, sind besonders gefährdet.

---

🧨 Ausnutzung

Diese Schwachstelle ist:

• Remote: Es sind keine Netzwerkbeschränkungen erforderlich, außer Zugang zu Webhook-/Formular-Endpunkten
• Nicht authentifiziert: Kein Login oder Anmeldeinformationen erforderlich
• Niedrige Komplexität: Für Angreifer leicht, Ausnutzungsanfragen zu erstellen

Hinweise aus Internet-Scans deuten darauf hin, dass Zehntausende potenziell exponierte Instanzen weiterhin online erreichbar sind.

---

🔍 Erkennung

Achten Sie auf:

• Unerwartete HTTP-Anfragen mit ungewöhnlichen Content-Type-Headern
• Zugriffsmuster auf Webhook-/Formular-Endpunkte von nicht vertrauenswürdigen Quellen
• Verdächtige Dateizugriffe oder Knotenausführungsprotokolle
• Webserver-Protokolle mit anormalen Workflow-Ausführungen

---

🛠 Behebung

✅ Sofort patchen

Aktualisieren Sie n8n auf Version 1.121.0 oder neuer – dieses Release enthält den Fix für CVE-2026-21858.

1. Stoppen Sie Ihre aktuelle n8n-Instanz
2. Aktualisieren Sie auf 1.121.0+
3. Starten Sie den Dienst neu
4. Überprüfen Sie, dass keine ungepatchten Knoten mehr exponiert sind

---

🧱 Temporäre Schadensbegrenzung (falls Patch verzögert)

Während des Updates die Exposition reduzieren:

• Externen Zugriff auf Webhook- und Formular-Endpunkte einschränken
• Authentifizierung für alle eingehenden Anfragen verlangen
• Firewall-Regeln verwenden, um eingehenden Datenverkehr zu begrenzen
• Öffentliche Webhooks deaktivieren, bis der Patch installiert ist

---

🔐 Sicherheits-Checkliste

• n8n ≥ 1.121.0 ausführen
• Netzwerkzugriff auf vertrauenswürdige IPs beschränken
• Alle gespeicherten Geheimnisse rotieren (API-Schlüssel/Token/Anmeldeinformationen)
• Workflow-Definitionen auf unsichere Inhalte überprüfen
• Zugriffsprotokolle auf Ausnutzungsversuche prüfen

---

📌 Zusammenfassung

---

⚠️ Abschließende Warnung

Wenn Sie n8n **irgendwo betreiben – besonders selbst gehostete, internetzugängliche Instanzen – patchen Sie sofort auf Version 1.121.0 oder höher. Das Risiko einer vollständigen Systemkompromittierung ist hoch, und automatisierte Ausnutzungen sind aufgrund der öffentlichen Details dieses Problems möglich.