---
title: "n8n'de Kritik Sandbox Açığı: İş Akışı Düzenleyicileri Sunucuda Komut Çalıştırabiliyor"
url: "https://teknotayf.com/haber/n8n-de-kritik-sandbox-acigi-is-akisi-duzenleyicileri-sunucuda-komut-calistirabiliyor"
markdown_url: "https://teknotayf.com/haber/n8n-de-kritik-sandbox-acigi-is-akisi-duzenleyicileri-sunucuda-komut-calistirabiliyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-07-27 17:16:52"
updated: "2026-07-27 14:16:52"
category: "Siber Güvenlik"
tags: ["Güvenlik Açığı","Kurumsal Güvenlik","n8n","İş Akışı","Sandbox Kaçış"]
source: "The Hacker News"
---

# n8n'de Kritik Sandbox Açığı: İş Akışı Düzenleyicileri Sunucuda Komut Çalıştırabiliyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/n8n-de-kritik-sandbox-acigi-is-akisi-duzenleyicileri-sunucuda-komut-calistirabiliyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** n8n, yüksek önem dereceli bir sandbox kaçış açığını yamaladı. Bu açık, kimliği doğrulanmış bir iş akışı düzenleyicisinin otomasyon platformunu çalıştıran sunucuda işletim sistemi komutları çalıştırmasına izin veriyor. Security Joes, n8n'in Şubat ayında yayınladığı bir düzeltmeyi incelerken bu açığı keşfetti.

- **Yayın tarihi:** 2026-07-27 17:16
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Güvenlik Açığı, Kurumsal Güvenlik, n8n, İş Akışı, Sandbox Kaçış
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/07/n8n-sandbox-escape-lets-workflow.html)

![n8n'de Kritik Sandbox Açığı: İş Akışı Düzenleyicileri Sunucuda Komut Çalıştırabiliyor](https://teknotayf.com/assets/uploads/2026/07/2748d6fa1fac2fa3bea22063e62c4e79.jpg)

n8n, yüksek önem dereceli bir ifade-sandbox kaçış açığını yamaladı. Bu açık, kimliği doğrulanmış bir iş akışı düzenleyicisinin otomasyon platformunu çalıştıran sunucuda işletim sistemi komutları çalıştırmasına izin veriyordu. Security Joes, n8n'in Şubat ayında `CVE-2026-27577` için yayınladığı düzeltmeyi incelerken bu açığı buldu.

Etkilenen sürümler `<2.31.5` ve `>=2.32.0,<2.32.1`. n8n, açığı **2.31.5** ve **2.32.1** sürümlerinde düzeltti. Sorunu `GHSA-gv7g-jm28-cr3m` olarak takip eden şirket, açığı CVSS 4.0 puanı 8.7 ile **Yüksek** olarak derecelendirdi. 27 Temmuz 2026 itibarıyla herhangi bir CVE numarası atanmamıştı.

Yöneticilerin, n8n'in geçici önlemlerine güvenmek yerine güncelleme yapmaları öneriliyor. Bu önlemler, örnek erişimini ve iş akışı düzenlemesini tamamen güvenilir kullanıcılarla sınırlamayı içeriyor. Danışma belgesi bu kontrolleri **eksik, kısa vadeli azaltımlar** olarak tanımlıyor. Yamalı 1.x sürümü listelenmezken, n8n Cloud'un etkilenip etkilenmediği de belirtilmiyor.

Açıktan yararlanmak için iş akışı oluşturma veya değiştirme iznine sahip geçerli bir hesap gerekiyor. Başka bir kullanıcının eylemini gerektirmeyen bu açık, başarılı bir istismar durumunda komutların n8n sürecinin ayrıcalıklarıyla çalıştırılmasına olanak tanıyor.

Security Joes, The Hacker News ile paylaştığı raporda, bu erişimin `N8N_ENCRYPTION_KEY`'i açığa çıkarabileceğini ve n8n'de depolanan kimlik bilgilerinin şifresinin çözülmesine izin verebileceğini belirtti. Ayrıca bağlı veritabanlarına, dahili hizmetlere ve bulut uç noktalarına yollar açabileceği uyarısında bulunuldu. Rapor hazırlanırken firma, açığın vahşi ortamda kullanıldığını gözlemlememişti. Kamuya açık danışma belgesi, açığın düzeltmeden önce kullanılıp kullanılmadığına dair bir bilgi içermiyor.

n8n iş akışı oluşturucuları, `={{ $json.email }}` gibi ifadeler kullanıyor. Soyut sözdizimi ağacı yeniden yazıcısı, bu ifadelerdeki serbest JavaScript tanımlayıcılarını Node.js çalışma zamanı yerine n8n'in kontrollü veri bağlamına yönlendiriyor. **2.31.4** sürümünde, `VariablePolyfill.ts` dosyası `ArrowFunctionExpression`'ı açık bir no-op dalına yerleştirmişti. `() => process` gibi kısa bir ok gövdesi, `process`'in sanal alan değeri yerine gerçek Node.js globaline çözümlenmesine neden olabiliyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/n8n-de-kritik-sandbox-acigi-is-akisi-duzenleyicileri-sunucuda-komut-calistirabiliyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.