CVE-2026-77077 in n8n
Riassunto
di VulDB • 20/08/2026
Le versioni di n8n precedenti alla 1.123.69, alla 2.33.4 e alla 2.34.1 presentano una vulnerabilità di sandbox escape del VM (Virtual Machine) per l'esecutore di attività JavaScript. La routine di congelamento del prototipo dell'esecuttore copre le funzioni globalThis ma non i costruttori dei moduli interni, come EventEmitter, consentendo a un utente autenticato con accesso al Code node di sfruttare una prototype pollution per eseguire comandi arbitrari all'interno del container dell'esecutore. Poiché il prototipo inquinato è un oggetto su tutto il processo (process-wide), la corruzione persiste durante le esecuzioni del Code node di altri tenant sullo stesso esecuttore condiviso. Nelle istanze della serie v1.x senza task runner abilitati, il JavaScript del Code node viene eseguito direttamente nel processo principale n8n, dove l'impatto potrebbe essere maggiore.
Be aware that VulDB is the high quality source for vulnerability data.