تسمح نقاط الضعف الحرجة المتعددة في النظام الأساسي لأتمتة سير العمل مفتوح المصدر الشهير n8n بالهروب من حدود البيئة والتحكم الكامل في الخادم المضيف.
يمكن استغلال المشكلات، التي يتم تتبعها بشكل جماعي باسم CVE-2026-25049، من قبل أي مستخدم معتمد يمكنه إنشاء أو تحرير سير العمل على النظام الأساسي لتنفيذ تعليمات برمجية غير مقيدة عن بعد على خادم n8n.
أبلغ الباحثون في العديد من شركات الأمن السيبراني عن المشكلات التي تنبع من آلية التعقيم الخاصة بـ n8n وتجاوز التصحيح”https://github.com/n8n-io/n8n/security/advisories/GHSA-v98v-ff95-f3cp” الهدف=”_blank” rel=”nofollow noopener”>CVE-2025-68613، عيب خطير آخر تمت معالجته في 20 ديسمبر.
“https://www.bleepstatic.com/c/w/Securing-AI-Agents-970×250.png” البديل=”Wiz”>
وفقًا لـ Pillar Security، فإن استغلال CVE-2026-25049 يتيح التسوية الكاملة لمثيل n8n ويمكن الاستفادة منه لتشغيل أوامر نظام عشوائية على الخادم، وسرقة جميع بيانات الاعتماد المخزنة، والأسرار (مفاتيح API، ورموز OAuth)، وملفات التكوين الحساسة.
من خلال استغلال الثغرة الأمنية، تمكن الباحثون أيضًا من الوصول إلى نظام الملفات والأنظمة الداخلية، والتركيز على الحسابات السحابية المتصلة، واختطاف سير عمل الذكاء الاصطناعي (اعتراض المطالبات، وتعديل الاستجابات، وإعادة توجيه حركة المرور).
نظرًا لأن n8n هي بيئة متعددة المستأجرين، فمن المحتمل أن يسمح الوصول إلى خدمات المجموعة الداخلية بالتمحور حول بيانات المستأجرين الآخرين.
“الهجوم لا يتطلب أي شيء خاص. إذا كان بإمكانك إنشاء سير عمل، فيمكنك امتلاك الخادم،””http://www.pillar.security/blog/n8n-sandbox-escape-critical-vulnerabilities-in-n8n-exposes-hundreds-of-thousands-of-enterprise-ai-systems-to-complete-takeover” الهدف=”_blank” rel=”nofollow noopener”> يقول عمود الأمن في تقرير اليوم.
المصدر: عمود الأمن
يصف تقرير بيلار المشكلة بأنها وضع حماية غير مكتمل قائم على AST ويوضح أنها تنشأ من وضع الحماية الضعيف لـ n8n لتعبيرات JavaScript المكتوبة من جانب الخادم في سير العمل.
في 21 ديسمبر 2025، أظهروا تجاوزًا مقيدًا لفريق n8n، مما سمح للهروب من وضع الحماية والوصول إلى كائن Node.js العالمي، مما يؤدي إلى RCE.
تم تنفيذ الإصلاح بعد يومين، ولكن بعد مزيد من التحليل، وجد بيلار أنه غير مكتمل، وظل الهروب الثاني عبر آلية مختلفة باستخدام عمليات مكافئة ممكنًا.
أكد مطورو n8n التجاوز في 30 ديسمبر، وفي النهاية، أصدر n8n الإصدار 2.4.0 في 12 يناير 2026، لمعالجة المشكلة.
اكتشف الباحثون في Endor Labs أيضًا تجاوزات التعقيم وأظهروا ثغرة CVE-2026-25049 من خلال عملية بسيطة”https://www.endorlabs.com/learn/cve-2026-25049-n8n-rce” الهدف=”_blank” rel=”nofollow noopener”> استغلال إثبات المفهوم (PoC).الذي يحقق تنفيذ التعليمات البرمجية عن بعد.
“In all versions prior to 2.5.2 and 1.123.17, the sanitization function assumes keys in property accesses are strings in attacker-controlled code,” يقول كريستيان ستيكو من Endor Labs.
ومع ذلك، على الرغم من أن التحقق ينعكس في كتابة TypeScript، إلا أنه لا يتم فرضه في وقت التشغيل، مما يؤدي إلى ظهور ثغرة أمنية تتعلق بارتباك النوع. وهذا يؤدي إلى تجاوز “sanitization controls entirely, enabling arbitrary code execution attacks.”
في تقرير اليوم، قدم الباحثون في SecureLayer7″https://blog.securelayer7.net/cve-2026-25049/” الهدف=”_blank” rel=”nofollow noopener”> التفاصيل الفنية التي مكنتهم من تحقيقها “server side JavaScript execution using the Function constructor.”
لقد اكتشفوا CVE-2026-25049 أثناء تحليل CVE-2025-68613 وإصلاح n8n له. استغرق الأمر أكثر من 150 محاولة فاشلة لتحسين الالتفافية الناجحة.
يتضمن تقرير SecureLayer7 أيضًا استغلال PoC وخطوات تفصيلية للإعداد الأولي وإنشاء سير عمل ضار يؤدي إلى التحكم الكامل في الخادم.
الخطوات الموصى بها
يجب على مستخدمي n8n تحديث النظام الأساسي إلى الإصدار الأحدث (حاليًا 1.123.17 و2.5.2). توصي Pillar Security أيضًا بتدوير “N8N_ENCRYPTION_KEY” وجميع بيانات الاعتماد المخزنة على الخادم، ومراجعة سير العمل بحثًا عن التعبيرات المشبوهة.
إذا لم يكن التحديث ممكنًا في الوقت الحالي، فإن فريق n8n يوفر للمسؤولين حلاً بديلاً يعمل بمثابة حل بديل”https://github.com/n8n-io/n8n/security/advisories/GHSA-6cqr-8cfr-67f8″ الهدف=”_blank” rel=”nofollow noopener”> التخفيف المؤقت ولا يعالج المخاطر بشكل كامل:
- قصر أذونات إنشاء سير العمل وتحريره على المستخدمين الموثوقين تمامًا فقط
- انشر n8n في بيئة متشددة ذات امتيازات نظام تشغيل مقيدة وإمكانية الوصول إلى الشبكة لتقليل تأثير الاستغلال المحتمل
حاليًا، لم تكن هناك أي تقارير عامة حول استغلال CVE-2026-25049. ومع ذلك، يبدو أن شعبية n8n المتزايدة قد لفتت انتباه مجرمي الإنترنت في سياق”https://www.bleepingcomputer.com/news/security/max-severity-ni8mare-flaw-lets-hackers-hijack-n8n-servers/” الهدف=”_blank” rel=”nofollow noopener”> عيب Ni8mare (CVE-2026-21858).
أبلغت GreyNoise هذا الأسبوع عن رؤية نشاط ضار محتمل يستهدف نقاط نهاية n8n المكشوفة المعرضة لـ Ni8mare،”https://www.labs.greynoise.io/grimoire/2026-02-03-vive-la-vulnerabilite-french-kubernetes-cluster-hunts-your-webhook-endpoints/index.html” الهدف=”_blank” rel=”nofollow noopener”> تسجيل ما لا يقل عن 33000 طلب بين 27 يناير و3 فبراير.
على الرغم من أن هذا التحقيق قد يكون بسبب نشاط بحثي، إلا أن المسح بحثًا عن /proc يشير نظام الملفات إلى الاهتمام بإمكانيات ما بعد الاستغلال.
مستقبل البنية التحتية لتكنولوجيا المعلومات هنا
تتحرك البنية التحتية الحديثة لتكنولوجيا المعلومات بشكل أسرع مما يمكن لسير العمل اليدوي التعامل معه.
في دليل Tines الجديد هذا، تعرف على كيف يمكن لفريقك تقليل التأخيرات اليدوية المخفية، وتحسين الموثوقية من خلال الاستجابة الآلية، وإنشاء مسارات عمل ذكية وتوسيع نطاقها بالإضافة إلى الأدوات التي تستخدمها بالفعل.