Cụ thể, ba lỗ hổng được định danh gồm CVE-2026-44789, CVE-2026-44790 và CVE-2026-44791, ảnh hưởng tới các node HTTP Request, Git và XML, đây là những thành phần được sử dụng phổ biến trong các workflow tự động hóa của doanh nghiệp.

Theo đó, kẻ tấn công không cần quyền quản trị cao để khai thác mà chỉ cần khả năng chỉnh sửa workflow là đã có thể từng bước leo thang quyền, mở rộng phạm vi kiểm soát và chiếm toàn bộ hệ thống chạy n8n.

Lỗ hổng đầu tiên có định danh CVE-2026-44789 tồn tại trong HTTP Request node, bắt nguồn từ việc xử lý không an toàn các tham số phân trang, tạo điều kiện cho kỹ thuật prototype pollution, một dạng tấn công cho phép sửa đổi prototype của các đối tượng JavaScript trên phạm vi toàn cục. Với Node.js, đây là lỗ hổng nghiêm trọng vì có thể làm thay đổi hành vi của ứng dụng, mở đường cho việc chèn dữ liệu độc hại hoặc thực thi mã tùy ý trên máy chủ. Mức độ rủi ro càng tăng cao khi n8n thường được sử dụng để kết nối API bên ngoài, cơ sở dữ liệu nội bộ, dịch vụ cloud và nhiều hệ thống vận hành quan trọng khác. Chỉ một workflow bị khai thác cũng có thể trở thành bàn đạp để tin tặc di chuyển sâu hơn vào hạ tầng doanh nghiệp.

Với CVE-2026-44790, lỗ hổng này ảnh hưởng tới Git node thông qua chèn tham số dòng lệnh. Kẻ tấn công có thể đưa các tham số độc hại vào quá trình Git push để đọc tệp tùy ý trên máy chủ. Điều này khiến nhiều dữ liệu nhạy cảm như tệp cấu hình, biến môi trường, khóa API và thông tin xác thực nội bộ đứng trước nguy cơ bị lộ lọt. Trong nhiều trường hợp thực tế, chỉ cần truy cập được các tệp cấu hình quan trọng cũng đủ để kẻ tấn công tiếp tục leo thang đặc quyền và tiến tới kiểm soát toàn bộ hệ thống.

Trong khi đó, CVE-2026-44791 liên quan đến XML node cũng được đánh giá nghiêm trọng do liên quan tới lỗi vượt qua bản vá bảo mật trước đó. Dù một lỗ hổng tương tự đã từng được khắc phục, các nhà nghiên cứu phát hiện vẫn tồn tại đường khai thác thay thế cho phép tiếp tục thực hiện kỹ thuật prototype pollution. Khi kết hợp với các node dễ bị tấn công khác, lỗ hổng này có thể hoàn thiện toàn bộ chuỗi khai thác dẫn tới thực thi mã từ xa, khiến nhiều hệ thống tưởng đã được bảo vệ thực tế vẫn còn phơi nhiễm trước nguy cơ bị xâm nhập.

Theo các nhà nghiên cứu, những lỗ hổng này có thể được kết hợp thành một chuỗi tấn công hoàn chỉnh, cho phép kẻ tấn công đi từ quyền chỉnh sửa workflow thông thường đến kiểm soát toàn bộ máy chủ chỉ trong thời gian ngắn. Các phiên bản n8n trước 1.123.43, 2.20.7 và 2.22.1 đều bị ảnh hưởng. Nhà phát triển đã phát hành bản vá cho các phiên bản mới hơn và khuyến nghị người dùng cập nhật ngay lập tức để tránh các rủi ro đáng tiếc.