CVE-2026-77077 in n8n
Zusammenfassung
von VulDB • 21.08.2026
In den Versionen von n8n vor 1.123.69, 2.33.4 und 2.34.1 liegt ein VM-Sandbox-Escape des JavaScript-Taskrunners vor. Die Routine zum Einfrieren der Prototypen (prototype-freezing) des Runners deckt zwar die globalThis-Funktionen ab, schließt jedoch interne Modulkonstruktoren wie EventEmitter aus, was es einem authentifizierten Benutzer mit Zugriff auf den Code-Knoten ermöglicht, eine Prototype-Pollution zu nutzen, um beliebige Befehle innerhalb der Runner-Container auszuführen. Da das verschmutzte Prototyp ein prozessweites Objekt ist, hält die Korruption auch bei der Ausführung von Code-Knoten anderer Mandanten im selben gemeinsamen Runner an. Auf v1.x-Instanzen ohne aktivierte Taskrunner wird JavaScript des Code-Knotens direkt im Haupt-n8n-Prozess ausgeführt, wo die Auswirkungen höher sein könnten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.