Auf den Punkt: GitGuardian fand 4.576 geleakte n8n-API-Token in öffentlichen GitHub-Commits, von denen 321 noch aktiven Zugriff auf Live-Instanzen ermöglichten – ganz ohne Ausnutzung einer Software-Schwachstelle.
Sicherheitsforscher von GitGuardian haben in öffentlichen GitHub-Commits 4.576 eindeutige n8n-API-Token gefunden, die 1.255 Hostnamen zugeordnet werden konnten. 321 der geprüften Instanzen akzeptierten die geleakten Token tatsächlich noch – ganz ohne eine Software-Schwachstelle auszunutzen.
GitGuardian scannte öffentliche GitHub-Commits gezielt nach exponierten API-Token der Workflow-Automatisierungsplattform n8n. Dabei identifizierten die Forscher 4.576 eindeutige Credentials, die sich 1.255 unterschiedlichen Hostnamen zuordnen ließen. Von den geprüften Instanzen nahmen 896 überhaupt Verbindungsversuche an, und bei 321 davon funktionierten die geleakten Token tatsächlich noch – die Angreifer hätten also unmittelbaren API-Zugriff auf laufende Produktivsysteme erhalten.
Die Forscher demonstrierten vier unterschiedliche Wege, wie sich diese Token missbrauchen lassen, um an sensible Daten und nachgelagerte Credentials zu gelangen. Entscheidend dabei: Keiner dieser Angriffswege erforderte eine klassische Software-Schwachstelle im Sinne einer CVE. Der Zugriff erfolgte allein über die legitime API-Funktionalität von n8n, kombiniert mit im Klartext oder in Konfigurationsdateien versehentlich eingecheckten Token.
Für CISOs verschiebt dieser Fall den Fokus vom klassischen Patch-Management hin zur Absicherung von Secrets im gesamten Entwicklungs- und Automatisierungs-Lifecycle. n8n-Instanzen werden häufig zur Orchestrierung von Workflows eingesetzt, die selbst wiederum Zugriff auf Datenbanken, SaaS-Dienste oder interne APIs besitzen. Ein kompromittiertes API-Token einer solchen Plattform kann damit als Sprungbrett zu weiteren Systemen dienen, ohne dass ein Angreifer jemals eine Schwachstelle im n8n-Code selbst finden oder ausnutzen muss.
Für die Praxis bedeutet das: Secret-Scanning in Repositories – auch in privaten und in Commit-Historien – sollte systematisch auf API-Token von Automatisierungsplattformen ausgeweitet werden, nicht nur auf klassische Cloud-Credentials. Zusätzlich empfiehlt sich eine regelmäßige Rotation von n8n-API-Token, die Einschränkung der Token-Berechtigungen nach dem Least-Privilege-Prinzip sowie eine Überwachung ungewöhnlicher API-Zugriffsmuster auf n8n-Instanzen, da ein Leak ohne begleitende Erkennungsmaßnahmen lange unbemerkt bleiben kann.
Quelle: thehackernews.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.