n8n: Offenlegung von Speicherresten durch unsichere Buffer-Allokation im Task Runner

Beschreibung

n8n ist eine Open-Source-Plattform für Workflow-Automatisierung. In den Versionen 1.65.0 bis vor 1.114.3 erlaubt die Verwendung von Buffer.allocUnsafe() und Buffer.allocUnsafeSlow() im Task Runner nicht vertrauenswürdigem Code die Allokation von nicht initialisiertem Speicher. Solche nicht initialisierten Puffer können Restdaten aus demselben Node.js-Prozess enthalten, etwa aus früheren Anfragen, Tasks, Secrets oder Tokens, was zu einer potenziellen Offenlegung von Informationen führt. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 1.114.3.

Changelog

1. 2026-07-28 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in n8n

• n8n – Improper Control of Dynamically-Managed Code Resources KEV CVE-2025-68613
• n8n – Dateizugriff auf dem Server über formularbasierte Workflows CVE-2026-21858
• n8n: Fehlende Shell-Sandbox-Beschränkung unter Linux und Windows im Paket @n8n/computer-use CVE-2026-65590
• n8n-MCP: Schwachstelle im HTTP-Modus mit aktivierter Mandantenfähigkeit CVE-2026-54052
• n8n – globale Prototype Pollution über Workflows CVE-2026-44789
• n8n – Umgehung des Patches für CVE-2026-42232 durch Workflow-Berechtigte CVE-2026-44791