n8n'de Kritik Kimlik Doğrulama Açığı: Başka Bir Yayıncının Kullanıcısı Gibi Giriş Yapılabiliyor (CVE-2026-59208)

Popüler açık kaynaklı iş akışı otomasyon platformu n8n, Kurumsal (Enterprise) sürümlerini etkileyen ve kullanıcıların kimliklerini yetkisiz kişilerin ele geçirmesine yol açabilecek kritik bir güvenlik zafiyetini kapattı. CVE-2026-59208 koduyla izlenen bu zafiyet, yanlış yapılandırılmış kimlik bağlama (identity-binding) mantığı nedeniyle saldırganların parola gerekmeden başka bir kullanıcının hesabına erişmesine olanak tanıyordu.

Zafiyetin Özü: iss İhmal Edilip Yalnızca sub Kontrol Edildi

Söz konusu güvenlik açığı, n8n’in Kurumsal sürümünde yer alan ve RFC 8693 standartlarına dayanan Token Exchange (Jeton Değişimi) mekanizmasında ortaya çıktı. Bu mekanizma, n8n platformunu kendi yazılımlarına gömen OEM ortaklarının, kullanıcılarına ikinci bir oturum açma ekranı göstermeden yetkilendirme yapabilmelerini sağlıyor.

Ancak birden fazla harici jeton yayıncısına (external token issuer) güvenecek şekilde yapılandırılmış n8n Enterprise örneklerinde ciddi bir mantık hatası bulunuyordu:

Normal Şartlarda: Gelen bir JSON Web Token (JWT) doğrulanırken, jetonun kime ait olduğunu belirten sub (subject/kullanıcı kimliği) talebi ile jetonu düzenleyen kurumu belirten iss (issuer/yayıncı) talebinin birlikte değerlendirilmesi gerekir.

Hatalı Mantık: n8n, gelen JWT'yi yerel kullanıcıyla eşleştirirken iss alanını tamamen görmezden geldi ve yalnızca sub alanına baktı.

Bu durum, A Yayıncısı tarafından üretilen geçerli bir jetonun içindeki sub değerinin, B Yayıncısı altındaki bir kullanıcıya karşılık gelmesi halinde n8n'in saldırganı doğrudan o kullanıcının hesabıyla oturum açmış gibi kabul etmesine yol açtı. Saldırganın hedef kullanıcının şifresine ihtiyacı bile kalmıyordu.

Keşfin Arkasındaki Sıradışı Detay: Yapay Zeka Ajanı

Zafiyetin tespit edilme hikayesi de siber güvenlik sektörü açısından oldukça dikkat çekici. n8n, güvenlik bildiriminde açığı raporlayan bearsyankees adlı GitHub kullanıcısına teşekkür etti.

Bu hesabın arkasında, yapay zeka tabanlı sızma testi ajanı geliştiren Strix şirketi yer alıyor. Strix tarafından yapılan açıklamaya göre, geliştirdikleri AI güvenlik ajanı token-exchange (jeton değişimi) akışını incelerken kimlik bağlama mantığındaki bu açığı otomatik olarak tespit etti. Yapay zeka ajanlarının karmaşık yetkilendirme protokollerinde bu tür mantıksal hataları bulabilmesi, otomatize güvenlik testlerinin geldiği noktayı gözler önüne seriyor.

Etki Alanı ve Risk Değerlendirmesi

Geliştirici ekibin paylaştığı bilgilere göre, zafiyetin etki alanı belirli koşullarla sınırlı:

Enterprise-Only: Zafiyet yalnızca n8n'in Kurumsal (Enterprise) sürümlerinde bulunuyor.

Önizleme Aşaması: Token Exchange özelliği henüz önizleme (preview) aşamasında olduğu için varsayılan olarak her sistemde aktif değil.

Çoklu Yayıncı Yapılandırması: Sistem ancak ve ancak Token Exchange özelliği açık olan ve en az iki farklı harici jeton yayıncısına güvenecek şekilde yapılandırılmış OEM dağıtımlarında tehdit oluşturuyor.

n8n yetkilileri, bu koşulları karşılamayan standart veya tek yayıncılı kurulumların zafiyetten etkilenmediğini vurguladı.

Zaman Çizelgesi ve Alınması Gereken Önlemler

24 Haziran 2026: n8n ekibi güvenlik yamasını hazırlayarak ilgili sürümlere dağıttı.

9 Temmuz 2026: CVE-2026-59208 kaydı resmi olarak kamuoyuna açıklandı.

Sistem yöneticilerinin, özellikle Enterprise sürümleri kullanan ve entegrasyonlarında birden fazla kimlik sağlayıcı (Identity Provider) barındıran organizasyonların n8n kurulumlarını 24 Haziran sonrası yayınlanan güncel sürümlere vakit kaybetmeden yükseltmeleri önerilmektedir.

Not: Bu açık, n8n’in Kurumsal katmanında son dönemde kapatılan tek yetkilendirme sorunu değil. Yayınlanan yamadan iki hafta önce n8n, yetkili kullanıcıların başka kullanıcıların OAuth jetonlarını ezmesine izin veren CVE-2026-54305 kodlu bir diğer sahiplik kontrolü eksikliğini de gidermişti.

Özet ve Sonuç

API entegrasyonları ve iş akışı otomasyonları sistemlerin "anahtarlığı" konumundadır. Bu tür platformlarda meydana gelen kimlik doğrulama hataları, tüm bağlı sistemlerin yetkisiz erişim riskiyle karşı karşıya kalmasına neden olabilir. n8n Enterprise kullanan tüm kurumların sistem yapılandırmalarını ve güncellik durumlarını hızlıca gözden geçirmeleri kritik önem taşımaktadır.