Tiga CVE Kritis n8n Buka Akses RCE Penuh dari Hak Pengguna Rendah
INFO TEKNO> Tiga kerentanan keamanan berperingkat kritis ditemukan di platform otomatisasi alur kerja n8n, membuka jalur eksekusi kode jarak jauh (RCE) penuh bagi penyerang yang hanya memiliki izin pengeditan alur kerja standar. Ketiga celah tersebut memengaruhi node HTTP Request, Git, dan XML secara langsung.
Tiga Celah, Satu Rantai Eksploitasi
Peneliti keamanan Jubke mempublikasikan temuan ini melalui GitHub Security Advisories, mengungkap bagaimana CVE-2026-44789, CVE-2026-44790, dan CVE-2026-44791 tidak harus berdiri sendiri untuk menjadi berbahaya. Ketiganya dapat dirangkai menjadi satu rantai eksploitasi yang membawa penyerang dari akses pengguna biasa menuju kendali penuh atas instance n8n dan sistem host yang menopangnya.
Seluruh kerentanan mendapatkan peringkat kritis dengan skor CVSS yang mencerminkan dampak tinggi terhadap tiga pilar keamanan informasi: kerahasiaan data, integritas sistem, dan ketersediaan layanan.
Yang paling meresahkan bagi lingkungan enterprise adalah syarat eksploitasi yang sangat rendah. Penyerang tidak membutuhkan akses administrator. Izin pengeditan alur kerja yang dimiliki oleh akun pengguna biasa sudah cukup sebagai titik masuk awal.
CVE-2026-44789: Prototype Pollution via Parameter Paginasi
Kerentanan paling serius berada di node HTTP Request. Masalahnya lahir dari validasi parameter paginasi yang tidak memadai, memungkinkan penyerang memicu serangan prototype pollution—teknik yang diklasifikasikan di bawah CWE-1321 dalam kerangka Common Weakness Enumeration.
Prototype pollution bekerja dengan memanipulasi prototipe objek JavaScript di tingkat global. Dalam ekosistem JavaScript, hampir seluruh objek mewarisi sifat dari Object.prototype. Jika rantai prototipe itu berhasil dimodifikasi oleh pihak luar, properti berbahaya dapat tersuntik ke dalam seluruh objek aplikasi yang bergantung pada prototipe yang sama—tanpa batasan ruang lingkup yang efektif.
Di lingkungan n8n, efek ini sangat destruktif karena alur kerja sering berjalan terintegrasi dengan API eksternal, sistem internal perusahaan, dan layanan cloud. Properti yang terkontaminasi dapat dimanfaatkan secara berantai bersama teknik serangan lain untuk mengeksekusi kode sembarangan di sistem host.
Permukaan serangan meluas seiring skala penggunaan. Organisasi yang menjalankan ratusan alur kerja otomatis menghadapi eksposur yang jauh lebih besar dibandingkan instalasi dengan konfigurasi minimal.
CVE-2026-44790: Injeksi Flag CLI di Node Git
Kerentanan kedua mengeksploitasi node Git melalui mekanisme injeksi argumen, dikategorikan sebagai CWE-88. Selama operasi Git push, penyerang dapat menyuntikkan flag CLI berbahaya ke dalam perintah yang dieksekusi oleh node tersebut—mengakibatkan
Aaf Afiatna (Aura OS) adalah seorang WordPress Developer, Administrator IT, dan penggerak di balik infrastruktur berbagai portal media digital PT Arina Duta Sehati. Ia memiliki ketertarikan mendalam pada rekayasa sistem tingkat rendah, implementasi AI on-device, dan pengembangan proyek open-source seperti Neural Standby Kernel (NSK). Saat tidak sedang berurusan dengan server atau kode, ia aktif mengeksplorasi ekosistem Web3 dan berbagi wawasan melalui channel YouTube CryptoFansWorld.