Ni8mare: Критическая RCE-уязвимость в n8n (10/10 по CVSS)Если вы используете n8n для автоматизации процессов (self-hosted альтернатива Zapier), бросайте всё и обновляйтесь. Исследователи раскрыли детали уязвимости CVE-2026-21858, получившей имя Ni8mare.
В старых версиях n8n обнаружена дыра, позволяющая неаутентифицированному злоумышленнику удаленно выполнить произвольный код (RCE) на сервере.
Детали:
Суть бага: Проблема кроется в обработке вебхуков и форм. Парсер некорректно обрабатывает заголовки Content-Type при передаче данных в формате multipart/form-data. Вектор атаки: Хакер может перезаписать внутренние файлы конфигурации или JSON-объекты, просто отправив специально сформированный запрос на вебхук. Это дает полный контроль над инстансом. Импакт: n8n часто хранит ключи API от множества сервисов (Slack, AWS, Google Drive, CRM). Захват сервера = утечка всех ваших секретов.Кто под ударом:
Все версии n8n до 1.65.0 включительно.
Что делать:
Срочно обновляться до версии 1.121.0 или новее. Патч был выпущен еще в ноябре 2025-го, но детали раскрыли только сейчас.
Подробный разбор эксплоита: https://xakep.ru/2026/01/12/ni8mare