Утечки токенов открыли доступ к 321 работающему инстансу n8n

GitGuardian нашла 4576 уникальных API-токенов n8n в публичных коммитах GitHub, связанных с 1255 адресами. На момент проверки были доступны 896 инстансов, и 321 из них принимал хотя бы один раскрытый токен. Это 36% доступных систем и около 26% всех найденных адресов.

Исследователи также проверили ключи для Model Context Protocol. Из 372 обнаруженных MCP-токенов семь, или около 2%, оставались действительными. Такие ключи позволяют ИИ-ассистентам вызывать процессы n8n через MCP.

Почему утечка опасна без программной уязвимости

n8n связывает базы данных, репозитории исходного кода, облачные среды, ИИ-сервисы и другие корпоративные системы. Права API-токена зависят от учётной записи, которая его создала. Многие раскрытые ключи, по наблюдениям GitGuardian, принадлежали владельцам или администраторам инстансов.

С таким доступом публичный REST API может раскрывать определения процессов, историю их выполнения, внутренние таблицы, переменные, сведения о пользователях и список сохранённых объектов учётных данных. В конфигурациях узлов встречаются код, SQL-запросы и секреты, записанные открытым текстом.

Сохранённые секреты n8n шифрует с помощью N8N_ENCRYPTION_KEY, однако платформе приходится расшифровывать их при выполнении процессов. Поэтому пользователь с правами на создание и запуск процесса способен заставить n8n применить ключ к запросу от его имени, не зная исходного значения.

Четыре сценария в тестовой среде

GitGuardian воспроизвела четыре техники на специально созданном инстансе. Исследователи не применяли их к чужим системам: все проверки выполнялись в контролируемой среде с использованием документированных методов REST API и обычных HTTP-запросов.

• Чтение списка пользователей и полных определений процессов, включая жёстко заданный токен GitHub.
• Создание процесса, который обращался к OpenAI с сохранённой учётной записью, и получение ответа через историю выполнения.
• Чтение строк внутренней таблицы через новый процесс и его журнал.
• Отправка сохранённого ключа OpenAI на контролируемый HTTP-адрес в заголовке Authorization.

Для этих действий не потребовались CVE или специальные инструменты. После удаления вредоносного процесса связанные записи выполнения исчезали из интерфейса, что могло сократить объём доступных защитникам свидетельств.

Почему ключи оставались действительными

Старые API-ключи n8n нередко не содержат поля exp со сроком действия. Версия 1.78.0, выпущенная в феврале 2025 года, установила стандартный срок в 30 дней, но многие найденные токены были созданы без даты истечения. Они могли работать, пока владелец явно не удалит или не отзовёт их.

Адрес инстанса часто находился в том же коммите, что и ключ: в файлах .env, переменных окружения и настройках Claude Code. Поэтому исследователям не требовался отдельный поиск инфраструктуры. Всего набор включал 5469 коммитов с токенами.

Что проверить компаниям

Отзыв раскрытого токена — только первый шаг. Организации должны определить, какие процессы, таблицы и внешние сервисы были доступны соответствующей учётной записи, проверить инстанс на несанкционированные изменения и изучить доступные журналы.

Если нельзя исключить обращение к подключённым системам, следует заменить их ключи и пароли. Масштаб риска определяется не только самим n8n, но и каждым связанным с ним репозиторием, облаком, базой данных, ИИ-сервисом или каналом поддержки.