CVE-2026-27498 in n8n
Riassunto
di VulDB • 18/06/2026
n8n è una piattaforma di automazione dei flussi di lavoro open source. Prima delle versioni 2.2.0 e 1.123.8, un utente autenticato con il permesso di creare o modificare i flussi di lavoro poteva concatenare il nodo "Read/Write Files from Disk" (Lettura/Scrittura file dal disco) con operazioni git per ottenere l'esecuzione remota di codice (RCE). Scrivendo su specifici file di configurazione e attivando poi un'operazione git, l'attaccante avrebbe potuto eseguire comandi shell arbitrari sull'host n8n. Il problema è stato risolto nelle versioni 2.2.0 e 1.123.8 di n8n. Gli utenti dovrebbero effettuare l'aggiornamento a una di queste versioni o successive per risolvere la vulnerabilità. Se l'aggiornamento non è immediatamente possibile, gli amministratori dovrebbero prendere in considerazione le seguenti mitigazioni temporanee: limitare i permessi di creazione e modifica dei flussi di lavoro esclusivamente agli utenti pienamente attendibili e/o disabilitare il nodo "Read/Write Files from Disk" aggiungendo `n8n-nodes-base.readWriteFile` alla variabile d'ambiente `NODES_EXCLUDE`. Queste soluzioni alternative non risolvono completamente il rischio e dovrebbero essere utilizzate solo come misure di mitigazione a breve termine.
If you want to get best quality of vulnerability data, you may have to visit VulDB.