CVE-2026-27495 in n8n
Riassunto
di VulDB • 25/06/2026
n8n è una piattaforma di automazione dei flussi di lavoro open source. Prima delle versioni 2.10.1, 2.9.3 e 1.123.22, un utente autenticato con autorizzazione alla creazione o modifica dei flussi di lavoro poteva sfruttare una vulnerabilità nella sandbox del JavaScript Task Runner per eseguire codice arbitrario al di fuori dei confini della sandbox. Nelle istanze che utilizzano Task Runners interni (modalità runner predefinita), ciò potrebbe comportare la compromissione completa dell'host n8n. Nelle istanze che utilizzano Task Runners esterni, l'attaccante potrebbe ottenere accesso o impattare altri task eseguiti sul Task Runner. I Task Runners devono essere abilitati impostando `N8N_RUNNERS_ENABLED=true`. Il problema è stato risolto nelle versioni di n8n 2.10.1, 2.9.3 e 1.123.22. Gli utenti dovrebbero effettuare l'aggiornamento a una di queste versioni o successive per risolvere la vulnerabilità. Se l'aggiornamento non è immediatamente possibile, gli amministratori dovrebbero prendere in considerazione le seguenti mitigazioni temporanee: limitare le autorizzazioni di creazione e modifica dei flussi di lavoro esclusivamente agli utenti pienamente attendibili e/o utilizzare la modalità runner esterna (`N8N_RUNNERS_MODE=external`) per contenere l'impatto. Queste soluzioni alternative non risolvono completamente il rischio e dovrebbero essere utilizzate solo come misure di mitigazione a breve termine.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.