CVE-2026-103245: n8n не проверяет подпись вебхуков в узле Webflow Trigger

Платформа автоматизации n8n широко используется для построения интеграций и обработки событий из внешних сервисов. Одним из механизмов приёма таких событий являются вебхуки, для которых критически важна проверка подлинности отправителя. В узле Webflow Trigger эта проверка оказалась нереализованной, что открывает возможность для несанкционированного запуска сценариев.

Подробности

Уязвимость CVE-2026-103245 затрагивает продукт n8n-io n8n. Проблема присутствует в версиях ниже 1.123.80, в ветке от 2.0.0 до 2.39.6, а также в диапазоне от 2.40.0 до 2.40.1. Оценка по шкале CVSS составляет 6.9 (MEDIUM). Суть уязвимости — отсутствие проверки HMAC-подписи заголовка x-webflow-signature в обработчике вебхуков узла Webflow Trigger. Из-за этого n8n не может убедиться, что входящий запрос действительно сформирован сервисом Webflow. Неаутентифицированный атакующий способен отправлять поддельные вебхуки с контролируемой им полезной нагрузкой, что приводит к запуску рабочих процессов и воздействию на нижестоящие действия — например, к созданию записей или выполнению вызовов внешних API. Такой сценарий может использоваться для искажения данных, инициирования нежелательных операций или дальнейшей эскалации в рамках подключённых интеграций. Важно, что эксплуатация не требует учётных данных: достаточно сетевого доступа к эндпоинту вебхука. Это увеличивает практическую значимость проблемы для инсталляций, доступных из интернета.

Что делать

Основная рекомендация — обновить n8n до безопасных версий. Исправление содержится в выпусках 1.123.80, 2.39.6 и 2.40.1 (для соответствующих веток). После обновления необходимо убедиться, что узел Webflow Trigger корректно проверяет подпись входящих запросов. Если немедленное обновление невозможно, следует применить компенсирующие меры:

• ограничить сетевой доступ к эндпоинтам вебхуков, по возможности закрыв их от публичного интернета;
• разместить вебхуки за обратным прокси или шлюзом с фильтрацией источников и проверкой подписей;
• отключить или временно не использовать узел Webflow Trigger, если он не критичен для работы;
• проверить журналы выполнения сценариев на предмет подозрительных запусков, инициированных вебхуками, и проанализировать связанные действия в подключённых системах.

Итог: уязвимость CVE-2026-103245 позволяет обходить проверку подлинности вебхуков в узле Webflow Trigger и запускать рабочие процессы n8n от имени внешнего сервиса. Учитывая средний уровень опасности (CVSS 6.9) и отсутствие необходимости в аутентификации, обновление до версий 1.123.80, 2.39.6 или 2.40.1 следует выполнить в приоритетном порядке.

Источник: CVE Project (cvelistV5)