n8n'de iki haftada bir tekrarlayan üç dalga halinde 39 güvenlik açığı kapatıldı
n8n-io/n8n deposu, yaklaşık iki haftalık aralıklarla üç ayrı günde (24 Haziran, 8 Temmuz, 22 Temmuz) toplam 39 GitHub Security Advisory yayınladı. Kapsam SQL injection'dan sandbox kaçışına, uzaktan kod çalıştırmadan hesap ele geçirmeye kadar uzanıyor. Açıkların büyüklüğü ve düzenli aralıkları, bunun tekil bildirimler değil koordineli bir güvenlik denetimi/ifşa programı olduğunu düşündürüyor.
n8n-io/n8n deposu, 2026 yazında dikkat çekici bir güvenlik ifşa dalgasına sahne oldu. Proje, 24 Haziran, 8 Temmuz ve 22 Temmuz tarihlerinde — yaklaşık iki haftalık aralıklarla — üç ayrı dalga halinde toplam 39 GitHub Security Advisory (GHSA) yayınladı.
Dalgaların büyüklüğü ve deseni
Üç dalganın büyüklükleri sırasıyla 9, 14 ve 16 kayıt. Hepsinin belirli patch sürümlerine (1.123.67, 2.31.5, 2.32.1) atıfla kapatılmış olması ve düzenli iki haftalık aralıklarla gelmesi, bunun tekil sızıntı bildirimleri değil koordineli, muhtemelen periyodik bir güvenlik denetimi veya bug-bounty toplu ifşa programı olduğunu düşündürüyor. Dikkat çekici bir detay: hiçbirine henüz resmi CVE kimliği atanmamış (yalnızca GHSA seviyesinde) ve patch sürümlerinin release notes’unda bu açıklara doğrudan atıf yapılmıyor — nötr “Bug Fixes” commit mesajlarıyla geçiyorlar.
Kapsam ne kadar geniş
Açıkların türü çeşitlilik gösteriyor:
- SQL injection — Snowflake, MySQL v1 ve PostgresTrigger node’larında parametrize edilmemiş expression interpolasyonu
- Sandbox kaçışı / uzaktan kod çalıştırma — Legacy Expression Evaluator sanitizer bypass’ı, Git node’da kimlik doğrulamalı kod çalıştırma ve TOCTOU race condition
- Hesap ele geçirme — Token Exchange embed-login akışında doğrulanmamış email claim
- Yetki yükseltme / veri sızıntısı — prototype pollution zincirleri, credential header sızıntıları, DOM XSS
Neden önemli
n8n gibi geniş çaplı kullanılan, self-hosted otomasyon platformlarında bu ölçekte ve bu düzenli aralıklarla gelen bir ifşa dalgası nadir görülüyor. Açıkların release notes’ta öne çıkarılmadan, sessizce “bug fix” olarak geçmesi de ayrı bir tartışma konusu: kullanıcıların bu güncellemelerin güvenlik kritikliğini fark etmesi zorlaşıyor.
Ne yapılmalı
Kendi n8n instance’ını (özellikle self-hosted) işleten ekipler için önerilen adımlar net: sürüm kontrolü yapılmalı, en az 1.123.67 / 2.31.5 / 2.32.1 sürümlerine geçiş planlanmalı ve özellikle PostgresTrigger, Git node ve HTTP/AI node’larının “Allowed Domains” kısıtlamalarını kullanan workflow’lar öncelikli olarak gözden geçirilmeli.
Self-hosted n8n instance'ı işleten ekipler için doğrudan ve yüksek etkili: Coolify/Docker gibi platformlar otomatik güncelleme yapmadığından, bu açıkların kapatıldığı sürümlere (en az 1.123.67 / 2.31.5 / 2.32.1) geçiş her kurulumda ayrı ayrı ve elle yapılmalı. Özellikle PostgresTrigger SQL injection ve HTTP/AI node'larındaki domain-kısıtlama bypass'ları, Postgres tabanlı ve AI-node yoğun kurulumları doğrudan ilgilendiriyor.
- GitHub — n8n-io/n8n Security Advisories · 2026-08-04
Bu haber ozgun ozet olarak hazirlanmistir; telif hakki ilgili kaynaklara aittir. Tam metin icin kaynak baglantilarini ziyaret edin.
Ilgili Haberler
'Kriptografik Bağlam Enjeksiyonu' — Grok, şifrelenmiş talimatlarla kandırılıp kullanıcı verisini sızdırdı
Güvenlik firması Adversa, xAI'nin Grok modelini basit ama etkili bir teknikle kandırdı: zararlı talimatı düz metin yerine şifreleyip sayfaya gömdü, çözme anahtarını da yanına ekledi. Modelin statik güvenlik filtresi düz metin talimatı reddederken şifreli metni 'anlamsız' sayıp geçirdi; model kendi kod-çalıştırma ortamında şifreyi çözünce filtre bir daha devreye girmedi ve kullanıcı verisi saldırganın sunucusuna sızdı. Aynı teknik Gemini'de de jailbreak için kullanıldı.
AI kodlama ajanları sahte kurulum talimatlarını izleyip kurumsal ağlara sahipsiz kod bulaştırdı
İsrailli bir güvenlik araştırma ekibi, 6.214 kurumsal web sitesini taradı ve 120 sitede kayıtsız paket veya alan adlarına işaret eden 227 sahte kurulum komutu buldu. Araştırmacılar bu boş isim alanlarını kendileri kayıt ettirip tuzak kurunca, aralarında büyük şirketlerin de bulunduğu düzinelerce kurumdan sinyal aldı; sahte talimatları sorgusuzca çalıştıran ajanların önde gelen üç AI kodlama asistanı olduğu tespit edildi.
ShinyHunters, ilaç dağıtım devi McKesson'dan milyonlarca hasta kaydı çaldığını iddia etti
ABD'nin en büyük ilaç ve tıbbi malzeme dağıtıcılarından McKesson, çalışanlarının oltalama ve sosyal mühendislikle kandırılarak bulut hesaplarına sızıldığını doğruladı. ShinyHunters hacker grubu isim, adres, sosyal güvenlik numarası, teşhis ve ilaç bilgisi dahil milyonlarca satır veri çaldığını iddia edip fidye talep etti. Haber, McKesson'ı son aylarda aynı grup tarafından hedef alınan sağlık şirketleri zincirine ekliyor.