n8n heeft in het workflow­platform meerdere kwetsbaarheden verholpen die draaien om autorisatie, authenticatie, data‑integriteit en vertrouwelijkheid. Hieronder de belangrijkste punten, plus wat je als beheerder nú kunt doen.

Wat er is opgelost

• Onjuiste autorisatie bij het aanmaken van workflows: geauthenticeerde gebruikers konden een nieuwe workflow toewijzen aan een map binnen een project waar zij geen rechten voor hadden. De oorzaak lag in gebrekkige validatie van het request tijdens workflowcreatie. Dit is aangepakt in de recente 2.28‑reeks. (cvefeed.io)
• SQL‑injectie in de legacy MySQL v1‑node (executeQuery): door ongeparameteriseerde expressies konden willekeurige SQL‑statements worden uitgevoerd. Patches zijn gepubliceerd voor 1.123.61, 2.27.4 en 2.28.1. Als tijdelijke maatregel kun je de MySQL v1‑node uitschakelen via NODES_EXCLUDE. (nvd.nist.gov)
• Object.prototype‑pollution via speciaal opgezette workflows: meerdere varianten zijn verholpen (o.a. in XML‑verwerking en specifieke database‑nodes). Dergelijke aanvallen kunnen validatie omzeilen en in keten met andere onderdelen tot privilege‑escalatie of RCE leiden. Fixes verschenen gefaseerd in 2.17.x–2.26.x en 2.24.0 (MSSQL). (nvd.nist.gov)
• Omzeilen van Allowed HTTP Request Domains: via het endpoint voor dynamic node parameters konden leden met beperkte rechten domeinrestricties passeren, waardoor requests mét credentials naar externe hosts mogelijk waren. Dit is verholpen in 2.20.0. (nvd.nist.gov)
• Onjuiste validatie bij meerdere trusted token‑exchange issuers: bij token‑exchange werd alleen op het subject (sub) gematcht en niet strikt op de issuer (iss). Daardoor kon een geldig token van issuer A worden gebruikt om een gebruiker onder issuer B te imiteren. Opgelost in 2.27.4 en 2.28.1. (nvd.nist.gov)
• Exfiltratie van credentials via pagination‑expressies in de HTTP Request‑node: editors met beperkte rechten konden via pagination‑expressies credential‑headers inzien en wegschrijven naar output. Patches zijn beschikbaar in 1.123.61, 2.27.4 en 2.28.1. (cyber.gc.ca)

Waarom dit ertoe doet
Workflow‑platformen zijn bij uitstek knooppunten waar API‑sleutels, OAuth‑tokens en bedrijfsdata samenkomen. Soms is er weinig nodig voor misbruik: één verkeerd gevalideerde expressie of een te soepele autorisatiecheck kan al genoeg zijn om secrets te lekken of rechten te verhogen. Recente incidenten rond n8n (zoals de “Ni8mare” CVE‑reeks en expression‑escape/RCE‑kwetsbaarheden) hebben laten zien dat internet‑toegankelijke instances extra risico lopen en dat snelle patching cruciaal is. Ook Europese CERT’s en het Nederlandse NCSC brachten de afgelopen maanden gericht adviezen uit om n8n‑installaties up‑to‑date te houden. (techradar.com)

Welke versies zijn geraakt?

• Workflow‑toewijzing/authorisatie: kwetsbaar vóór 2.28.0. (cvefeed.io)
• MySQL v1 SQL‑injectie: kwetsbaar vóór 1.123.61, 2.27.4 en 2.28.1. (nvd.nist.gov)
• Prototype‑pollution varianten: gefixt in meerdere releases, o.a. 2.17.4/2.18.1 (webhook/XML‑pad) en 2.24.0 (MSSQL‑node). (nvd.nist.gov)
• Allowed HTTP Request Domains‑bypass (dynamic node parameters): kwetsbaar vóór 2.20.0. (nvd.nist.gov)
• Token‑exchange cross‑issuer impersonatie: kwetsbaar vóór 2.27.4 en 2.28.1. (nvd.nist.gov)
• Pagination‑expressie lekt credentials: kwetsbaar vóór 1.123.61, 2.27.4 en 2.28.1. (cve.ics-csirt.io)

Aanbevolen acties voor beheerders

• Update prioriteit geven: upgrade bij voorkeur naar de laatste stabiele 2.28.x‑versie (of hoger) of naar de minimaal gepatchte versies die hierboven staan genoemd. Dit dicht meerdere issues in één keer. (advisories.ncsc.nl)
• Rechten aanscherpen: beperk workflow:create/editor‑rechten tot vertrouwde accounts en gebruik project‑ en maprechten strikt. Controleer of nieuwe workflows niet buiten de beoogde projectstructuur belanden. (cvefeed.io)
• Legacy‑ en risiconodes beperken: schakel de legacy MySQL v1‑node uit indien niet nodig (NODES_EXCLUDE) en minimaliseer gebruik van risicovolle nodes in omgevingen met gedeelde toegang. (cyberveille.esante.gouv.fr)
• Domein‑allowlists en netwerkbeperkingen: zet Allowed HTTP Request Domains aan en zorg dat extern uitgaand verkeer naar “unknown” hosts wordt geblokkeerd op netwerklaag. (nvd.nist.gov)
• Token‑exchange controleren: als je meerdere identity‑providers gebruikt, verifieer dan dat je versie de issuer‑validatie correct afdwingt en roteer tokens waar nodig. (nvd.nist.gov)
• Credentials opschonen en roteren: roteer API‑sleutels en OAuth‑tokens die via HTTP Request‑pagination of domeinbypass blootgesteld kunnen zijn, en check audit‑logs op misbruik. (cyber.gc.ca)

Korte context
De aandacht voor n8n‑beveiliging is het afgelopen jaar fors toegenomen, mede door publiek gedocumenteerde RCE‑kwetsbaarheden en misconfiguraties die massaal op internet te vinden waren. Onderzoekers telden in januari nog tienduizenden publiek bereikbare n8n‑instances met bekende gaten. De les: behandel je automatiserings­platform als productiesysteem — patch snel, segmenteer het netwerk en beperk wie workflows mag bouwen. (techradar.com)

Tot slot
Heb je n8n publiek bereikbaar? Plan dan vandaag nog een update, draai een rechten‑review en controleer je credential‑beleid. Dat kost weinig tijd en kan een hoop ellende voorkomen.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.