DevSecOps 기업 JFrog의 연구진이 n8n 워크플로우 자동화 플랫폼에서 두 가지 심각한 취약점(CVE-2026-1470, CVE-2026-0863)을 발견하였습니다. 이 취약점들은 인증이 필요함에도 불구하고, 공격자가 영향을 받는 인스턴스를 완전히 장악하고 민감한 데이터에 접근하거나 임의의 코드를 실행할 수 있게 합니다. 특히 CVE-2026-1470은 n8n의 메인 노드에서 임의 코드 실행이 가능해 치명적(9.9/10)으로 평가되었으며, 비관리자 사용자도 인프라 수준의 권한을 획득할 수 있습니다.
n8n은 오픈소스 워크플로우 자동화 플랫폼으로, 다양한 애플리케이션과 API, 서비스를 시각적 에디터로 연동할 수 있습니다. JFrog이 발견한 두 취약점은 각각 JavaScript와 Python의 AST 샌드박스 우회로 인해 발생하며, 이를 통해 공격자는 제한된 환경을 탈출해 운영체제 명령 실행 및 전체 원격 코드 실행(RCE)이 가능합니다. 이러한 취약점은 동적 고수준 언어의 샌드박스화가 매우 어렵다는 점을 보여줍니다.
해당 취약점들은 n8n의 최신 버전에서 패치되었으며, 클라우드 플랫폼은 이미 문제를 해결한 상태입니다. 그러나 취약한 버전을 사용하는 셀프호스팅 환경은 여전히 위험에 노출되어 있으므로, 사용자들은 즉시 최신 버전으로 업그레이드할 것이 권고됩니다. 최근 n8n에서 연이어 치명적 결함이 보고되고 있으나, 패치 속도는 매우 더딘 상황입니다.
※ 이 글은 생성형 AI(gpt4.1)에 의해 요약되었습니다.