Theo các nhà nghiên cứu tại công ty bảo mật dữ liệu Cyera, đã có hơn 100.000 máy chủ n8n ảnh hưởng bởi Ni8mare. Kẻ tấn công khai thác lỗ hổng này có thể truy cập vào các tệp tin trên máy chủ bằng cách thực thi một số workflow dựa trên biểu mẫu nhất định.

“Một workflow dễ bị tổn thương có thể cho phép kẻ tấn công từ xa không được xác thực truy cập. Điều này dẫn đến nguy cơ rò rỉ thông tin nhạy cảm lưu trữ trên hệ thống và tạo điều kiện cho các cuộc tấn công tiếp theo, tùy thuộc vào cấu hình triển khai cũng như cách sử dụng workflow”, các nhà phát triển của n8n cho biết.

Cyera đã phát hiện ra lỗ hổng Ni8mare và báo cáo cho n8n vào ngày 9/11/2025. Họ cho biết nguyên dẫn đến đến sự cố bảo mật là do sự nhầm lẫn về loại nội dung trong cách n8n phân tích dữ liệu.

Theo đó, n8n sử dụng hai chức năng để xử lý dữ liệu đến dựa trên header “content-type” được cấu hình trong webhook - thành phần kích hoạt các sự kiện trong workflow bằng cách lắng nghe các thông điệp cụ thể.

Khi webhook request được đánh dấu là multipart/form-data, n8n sẽ xử lý nó như một yêu cầu tải lên tệp tin và sử dụng một trình phân tích đặc biệt để lưu các tệp tin vào các vị trí tạm thời được tạo ngẫu nhiên. “Điều này có nghĩa là người dùng không thể kiểm soát vị trí lưu trữ của các tệp tin, từ đó giúp bảo vệ chống lại các cuộc tấn công vượt quyền truy cập thư mục”.

Tuy nhiên, đối với tất cả các loại nội dung khác, n8n sử dụng trình phân tích cú pháp tiêu chuẩn của nó. Cyera phát hiện ra rằng, bằng cách thiết lập một loại nội dung khác, chẳng hạn như application/json, kẻ tấn công có thể vượt qua trình phân tích cú pháp tải lên.

Trong trường hợp như vậy, n8n vẫn xử lý các trường liên quan đến tệp nhưng không xác minh xem yêu cầu có thực sự chứa tệp tải lên hợp lệ hay không. Vì thế, các tác nhân đe dọa hoàn toàn có khả năng kiểm soát metadata của tệp, bao gồm cả đường dẫn.

Lỗi logic phân tích cú pháp

“Vì hàm này được gọi mà không cần xác minh kiểu nội dung là multipart/form-data, nên chúng tôi kiểm soát toàn bộ đối tượng req.body.files, cũng như tham số filepath, do đó thay vì sao chép một tệp đã tải lên, chúng tôi có thể sao chép bất kỳ tệp cục bộ nào từ hệ thống”, Cyera giải thích.

Điều này cho phép đọc các tệp tùy ý từ một phiên bản n8n, từ đó làm lộ thông tin bằng cách thêm các tệp nội bộ vào cơ sở tri thức của workflow. Cyera cho biết điểm yếu có thể bị lạm dụng để rò rỉ các thông tin bí mật được lưu trữ trên máy chủ, chèn các tệp tin nhạy cảm vào workflow, giả mạo phiên cookie để vượt qua xác thực hoặc thậm chí thực thi các lệnh tùy ý.

Khai thác lỗ hổng Ni8mare (CVE-2026-21858) để truy cập cơ sở dữ liệu

Cyera nhấn mạnh n8n thường lưu trữ các khóa API, Oauth token, thông tin đăng nhập cơ sở dữ liệu, quyền truy cập lưu trữ đám mây, CI/CD và dữ liệu kinh doanh, biến nó thành một trung tâm tự động hóa tập trung.

Các nhà phát triển n8n cho biết, một biện pháp giảm thiểu có thể thực hiện là hạn chế hoặc vô hiệu hóa các điểm cuối webhook và biểu mẫu có thể truy cập công khai. Bên cạnh đó là việc cập nhật lên phiên bản n8n 1.121.0 hoặc phiên bản mới hơn.