Fallas críticas de n8n permiten la ejecución remota de código y la exposición de credenciales almacenadas
Investigadores de ciberseguridad han revelado detalles de dos fallas de seguridad ahora parcheadas en la plataforma de automatización de flujo de trabajo n8n , incluidos dos errores críticos que podrían resultar en la ejecución de comandos arbitrarios.
Las vulnerabilidades se enumeran a continuación:
CVE-2026-27577 (puntuación CVSS: 9,4): Escape de espacio aislado de expresiones que provoca ejecución remota de código (RCE).
CVE-2026-27493 (puntuación CVSS: 9,5): evaluación de expresiones no autenticadas mediante los nodos de formulario de n8n
"CVE-2026-27577 es un escape de sandbox en el compilador de expresiones: un caso faltante en el reescritor AST permite que el proceso se deslice sin transformar, lo que otorga a cualquier expresión autenticada un control de ejecución de red (RCE) completo", dijo el investigador de Pillar Security, Eilon Cohen, quien descubrió e informó los problemas, en un informe compartido con The Hacker News.
La empresa de ciberseguridad describió CVE-2026-27493 como un "error de doble evaluación" en los nodos de formulario de n8n que podría usarse para inyectar expresiones aprovechando el hecho de que los puntos finales del formulario son públicos por diseño y no requieren autenticación ni una cuenta n8n.
Todo lo que se necesita para una explotación exitosa es aprovechar un formulario público de "Contáctenos" para ejecutar comandos de shell arbitrarios simplemente proporcionando una carga útil como entrada en el campo Nombre.
En un aviso publicado a fines del mes pasado, n8n dijo que CVE-2026-27577 podría ser utilizado como arma por un usuario autenticado con permiso para crear o modificar flujos de trabajo para desencadenar la ejecución no deseada de comandos del sistema en el host que ejecuta n8n a través de expresiones creadas en los parámetros del flujo de trabajo.
N8n también señaló que CVE-2026-27493, al combinarse con un escape de sandbox de expresión como CVE-2026-27577, podría escalar a ejecución remota de código en el host n8n. Ambas vulnerabilidades afectan las implementaciones alojadas en servidores propios y en la nube de n8n.
< 1.123.22, >= 2.0.0 < 2.9.3, y >= 2.10.0 < 2.10.1 - Corregido en las versiones 2.10.1, 2.9.3 y 1.123.22
Si la aplicación inmediata de un parche a CVE-2026-27577 no es una opción, se recomienda a los usuarios limitar los permisos de creación y edición del flujo de trabajo a usuarios de total confianza e implementar n8n en un entorno reforzado con privilegios de sistema operativo y acceso a la red restringidos.
En cuanto a CVE-2026-27493, n8n recomienda las siguientes mitigaciones:
Revise manualmente el uso de los nodos de formulario para las condiciones previas mencionadas anteriormente.
Deshabilite el nodo Formulario agregando n8n-nodes-base.form a la variable de entorno NODES_EXCLUDE.
Deshabilite el nodo Activador de formulario agregando n8n-nodes-base.formTrigger a la variable de entorno NODES_EXCLUDE.
"Estas soluciones alternativas no solucionan totalmente el riesgo y solo deben utilizarse como medidas de mitigación a corto plazo", advirtieron los mantenedores.
Pillar Security dijo que un atacante podría explotar estas fallas para leer la variable de entorno N8N_ENCRYPTION_KEY y usarla para descifrar cada credencial almacenada en la base de datos de n8n, incluidas las claves de AWS, las contraseñas de la base de datos, los tokens OAuth y las claves API.
Las versiones 2.10.1, 2.9.3 y 1.123.22 de N8n también resuelven otras dos vulnerabilidades críticas que también podrían aprovecharse para lograr la ejecución de código arbitrario:
CVE-2026-27495 (puntuación CVSS: 9,4): Un usuario autenticado con permiso para crear o modificar flujos de trabajo podría aprovechar una vulnerabilidad de inyección de código en el entorno aislado de JavaScript Task Runner para ejecutar código arbitrario fuera de los límites del entorno aislado.
CVE-2026-27497 (puntuación CVSS: 9,4): un usuario autenticado con permiso para crear o modificar flujos de trabajo podría aprovechar el modo de consulta SQL del nodo Merge para ejecutar código arbitrario y escribir archivos arbitrarios en el servidor n8n.
Además de limitar los permisos de creación y edición del flujo de trabajo a usuarios de confianza, n8n ha descrito a continuación las soluciones alternativas para cada falla:
CVE-2026-27495 : Utilice el modo de ejecución externa (N8N_RUNNERS_MODE=external) para limitar el radio de explosión.
CVE-2026-27497 : Deshabilite el nodo Merge agregando n8n-nodes-base.merge a la variable de entorno NODES_EXCLUDE.
Si bien n8n no menciona que ninguna de estas vulnerabilidades se esté explotando, se recomienda a los usuarios mantener sus instalaciones actualizadas para una protección óptima.
