n8n 存在通过文件写入和 Git 操作实现任意命令执行的漏洞

此漏洞允许经过身份验证且具有创建或修改工作流权限的用户，通过巧妙地利用“从磁盘读取/写入文件”节点和 git 操作，实现远程代码执行。攻击者可以首先通过写入特定的配置文件，然后触发 git 操作，从而在 n8n 主机上执行任意 shell 命令。这种攻击方式可能导致敏感数据泄露、系统被完全控制，甚至可能被用作进一步攻击其他系统的跳板。如果 n8n 运行在共享主机环境中，则潜在影响范围将更大，可能影响多个租户。由于 n8n 经常用于自动化任务，攻击者可能能够利用此漏洞破坏自动化流程，造成业务中断。

Organizations using n8n for workflow automation, particularly those handling sensitive data or integrating with critical systems, are at risk. Environments with overly permissive user roles or those lacking robust security monitoring are especially vulnerable. Shared hosting environments where multiple users share an n8n instance are also at increased risk.

• nodejs / server: Monitor n8n logs for unusual file creation or modification patterns within the Read/Write Files from Disk node directory. Look for suspicious git commands being executed.

find /path/to/n8n/data/ -mmin -60 -type f -print0 | xargs -0 grep -i 'malicious_command'

• nodejs / server: Use ps or top to monitor processes running within the n8n container for unexpected command-line arguments or resource consumption.

ps aux | grep n8n

• generic web: Check n8n workflow configurations for suspicious file paths or commands that could be exploited. Review user permissions to ensure least privilege access.

1. 2026-02-25Disclosure

   disclosure

1. 已保留2026-02-19
2. 发布日期2026-02-25
3. 修改日期2026-02-28
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级到 n8n 1.123.8 或 2.2.0 或更高版本。如果升级不可行，可以考虑以下临时缓解措施：限制用户对工作流的访问权限，特别是那些具有创建或修改工作流权限的用户。审查工作流配置，确保没有可疑的节点或操作。监控 n8n 日志，查找任何异常活动。如果可能，禁用或限制 git 集成。在升级后，请验证漏洞是否已成功修复，可以通过尝试触发受影响的操作，并确认是否不再执行任意 shell 命令。