Kritische n8n-Sicherheitslücke (CVE-2026-21858): Wie eine Form-Funktion zur vollständigen Übernahme führt

Die Workflow-Automatisierungsplattform n8n ist von einer kritischen Sicherheitslücke (CVE-2026-21858, CVSS 10.0) betroffen, die unter bestimmten Bedingungen eine unauthentifizierte vollständige Übernahme selbst gehosteter Instanzen erlaubt. [Research]

Besonders brisant: Die Schwachstelle entsteht nicht durch exotische Sonderkonfigurationen, sondern durch eine unglückliche Kombination weit verbreiteter n8n-Features – konkret Formular-Workflows mit Datei-Uploads. In diesem Beitrag erklären wir verständlich, aber technisch korrekt, wie der Angriff funktioniert, wer betroffen ist und welche konkreten Maßnahmen Unternehmen jetzt ergreifen sollten.

1. Überblick: Was ist CVE-2026-21858?

Laut dem offiziellen Security Advisory betrifft die Schwachstelle n8n-Versionen 1.65 bis 1.120.4. Sie wurde im November 2025 gemeldet und mit Version 1.121.0 behoben. [Security Advisory]

Der Kern des Problems: Bestimmte Formular-basierte Workflows können bei fehlerhafter Eingabevalidierung von unauthentifizierten Angreifern missbraucht werden. Je nach Deployment-Konfiguration reicht dies von unautorisiertem Dateizugriff bis hin zu Remote Code Execution.

2. Wer ist betroffen?

• Selbst gehostete n8n-Instanzen mit Versionen 1.65–1.120.4
• Instanzen mit aktiven Form-Workflows, die:
  • eine Form Submission mit Datei-Upload akzeptieren
  • und eine Form Ending-Node mit binärer Ausgabe nutzen

Nicht betroffen sind:

• n8n Cloud-Instanzen (automatisch gepatcht)
• Alle n8n-Versionen ≥ 1.121.0
• Alle 2.x-Versionen (inkl. RCs)

3. Technische Analyse: Content-Type Confusion als Ausgangspunkt

Die Schwachstelle trägt den Codenamen „Ni8mare“ und basiert auf einer klassischen, aber oft unterschätzten Klasse von Fehlern: Content-Type Confusion.

n8n verarbeitet eingehende Webhook-Requests abhängig vom Content-Type-Header:

• multipart/form-data → Datei-Parser (Formidable)
• andere Typen (z. B. application/json) → regulärer Body-Parser

Das Problem entsteht, wenn Datei-verarbeitende Funktionen auf req.body.files zugreifen, ohne zuvor sicherzustellen, dass tatsächlich ein Multipart-Upload verarbeitet wurde. Genau dieses Muster existiert im Form Webhook Node.

3.1 Arbitrary File Read

Durch gezielte Manipulation des Content-Type-Headers kann ein Angreifer den regulären Body-Parser erzwingen und dabei req.body.files selbst kontrollieren. Das ermöglicht das Kopieren beliebiger lokaler Dateien (z. B. /etc/passwd oder Konfigurationsdateien) in nachgelagerte Workflow-Nodes. [Research]

3.2 Von File Read zu Admin-Zugriff

In lokalen n8n-Deployments liegen sowohl:

• die SQLite-Datenbank mit Benutzerkonten
• als auch der Secret-Key zur Signierung der Auth-Sessions

direkt auf dem Dateisystem. Über den Arbitrary-Read-Primitive lassen sich diese Informationen extrahieren und ein gültiger n8n-auth-Session-Cookie fälschen. Das Ergebnis ist ein vollständiger Authentication Bypass.

3.3 Der letzte Schritt: Code Execution

Nach erfolgreichem Admin-Login ist die eigentliche Code-Ausführung trivial: Der integrierte Execute Command-Node erlaubt das Ausführen beliebiger Systembefehle. Damit ist die vollständige Übernahme der n8n-Instanz erreicht.

4. Warum diese Schwachstelle so gefährlich ist

n8n fungiert in vielen Organisationen als zentrale Automatisierungs-Schicht – mit Zugriff auf:

• Cloud-APIs
• OAuth-Tokens
• Datenbanken
• CI/CD-Systeme
• Interne Business-Anwendungen

Eine kompromittierte n8n-Instanz ist daher nicht „nur ein Server“, sondern ein Single Point of Failure mit erheblicher Reichweite.

5. Konkrete Maßnahmen für Unternehmen

1. Sofort aktualisieren: Upgrade auf n8n ≥ 1.121.0
2. Form-Workflows prüfen: Datei-Uploads nur, wenn zwingend notwendig
3. Exponierung reduzieren: Kein direkter Internet-Zugriff ohne Authentifizierung
4. Secrets rotieren: API-Keys und Tokens als potenziell kompromittiert betrachten
5. Monitoring etablieren: Webhook-Zugriffe und ungewöhnliche Workflow-Ausführungen überwachen

Diese Sofortmaßnahmen adressieren CVE-2026-21858 direkt. Für eine umfassende, systematische Absicherung Ihrer n8n-Installation empfehlen wir unsere detaillierte Checkliste: Sichere n8n-Deployments . Diese behandelt nicht nur Remote Exploits wie CVE-2026-21858, sondern auch Supply-Chain-Risiken, Credential-Management und weitere kritische Aspekte – maßgeschneidert für Startups, KMU und Enterprise.

6. FAQ zur n8n-Sicherheitslücke

Ist jede n8n-Installation betroffen?

Nein. Betroffen sind nur selbst gehostete Instanzen mit Versionen 1.65–1.120.4 und spezifischen Form-Workflows mit Datei-Upload.

Warum wurde die Lücke erst später öffentlich gemacht?

Laut n8n erfolgte die Kommunikation bewusst verzögert, um verantwortungsvolle Offenlegung zu ermöglichen und Massenangriffe vor breiter Patch-Verfügbarkeit zu vermeiden.

Reicht das Update allein aus?

Das Update schließt die konkrete Lücke. Langfristig sollten n8n-Instanzen jedoch wie kritische Infrastruktur behandelt und entsprechend segmentiert und überwacht werden. Eine systematische Anleitung hierfür bietet unsere Checkliste: Sichere n8n-Deployments .

Für eine umfassende, praxisnahe Anleitung zur Absicherung Ihrer n8n-Installation empfehlen wir unsere Checkliste: Sichere n8n-Deployments für Startups, KMU & Enterprise . Diese behandelt systematisch alle relevanten Sicherheitsaspekte – von Remote Exploits über Supply-Chain-Risiken bis hin zu Credential-Management.

Wenn Sie unsicher sind, ob Ihre n8n-Umgebung betroffen ist oder Unterstützung bei der Absicherung benötigen, empfehlen wir einen IT-Security-Quick-Check .