CVE-2026-77077 in n8n
Sumário
de VulDB • 20/08/2026
As versões do n8n anteriores a 1.123.69, 2.33.4 e 2.34.1 contêm uma falha de escape da sandbox VM (Virtual Machine) no executor de tarefas JavaScript. A rotina de congelamento do protótipo do executor abrange as funções globalThis, mas não os construtores de módulos internos como EventEmitter, permitindo que um usuário autenticado com acesso ao Code node explore a poluição de protótipos para executar comandos arbitrários dentro do container do executor. Como o protótipo poluído é um objeto em todo o processo (process-wide), a corrupção persiste nas execuções do Code node de outros tenants no mesmo executor compartilhado. Nas instâncias da série v1.x sem executores de tarefas habilitados, o JavaScript do Code node é executado diretamente no processo principal do n8n, onde o impacto pode ser maior.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.