CVE-2026-27495 in n8n
Sumário
de VulDB • 27/06/2026
O n8n é uma plataforma de automação de fluxos de trabalho de código aberto. Antes das versões 2.10.1, 2.9.3 e 1.123.22, um usuário autenticado com permissão para criar ou modificar fluxos de trabalho poderia explorar uma vulnerabilidade na sandbox do JavaScript Task Runner para executar código arbitrário fora dos limites da sandbox. Em instâncias que utilizam Task Runners internos (modo padrão), isso pode resultar no comprometimento total do host n8n. Em instâncias que utilizam Task Runners externos, o atacante pode obter acesso ou impactar outras tarefas executadas no Task Runner. Os Task Runners devem ser habilitados usando `N8N_RUNNERS_ENABLED=true`. O problema foi corrigido nas versões 2.10.1, 2.9.3 e 1.123.22 do n8n. Os usuários devem atualizar para uma dessas versões ou posterior para remediar a vulnerabilidade. Se a atualização não for imediatamente possível, os administradores devem considerar as seguintes mitigações temporárias: limitar a criação e edição de fluxos de trabalho apenas a usuários totalmente confiáveis e/ou usar o modo runner externo (`N8N_RUNNERS_MODE=external`) para limitar o raio de explosão (blast radius). Essas soluções alternativas não remediam completamente o risco e devem ser usadas apenas como medidas de mitigação de curto prazo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.