Vulnerabilidade CVE-2026-25049 n8n

Uma vulnerabilidade de segurança recentemente divulgada na plataforma de automação de fluxo de trabalho n8n permite a execução de comandos arbitrários do sistema sob certas condições. A falha é rastreada como CVE-2026-25049 e possui uma pontuação CVSS de 9,4, refletindo sua gravidade crítica. Se explorada com sucesso, a vulnerabilidade permite que invasores executem comandos em nível de sistema no servidor que hospeda o n8n.

Contornar uma vulnerabilidade previamente corrigida

A vulnerabilidade CVE-2026-25049 decorre de uma sanitização insuficiente que ignora as proteções introduzidas para corrigir a CVE-2025-68613 (CVSS 9.9), uma vulnerabilidade crítica corrigida em dezembro de 2025. Análises subsequentes mostraram que a nova CVE é, na verdade, uma forma de contornar a correção original, e não um problema totalmente distinto. Pesquisadores demonstraram que ambas as falhas permitem que atacantes escapem do sandbox de expressões do n8n e burlem as verificações de segurança existentes. Após a divulgação anterior, outras vulnerabilidades na avaliação de expressões também foram identificadas e corrigidas.

Pré-requisitos de ataque e mecânicas de exploração

Qualquer usuário autenticado com permissão para criar ou modificar fluxos de trabalho pode explorar a vulnerabilidade. Ao injetar expressões manipuladas nos parâmetros do fluxo de trabalho, torna-se possível acionar a execução não intencional de comandos do sistema. Um cenário particularmente perigoso envolve a criação de um fluxo de trabalho que expõe um webhook publicamente acessível sem autenticação. Ao incorporar uma única linha de JavaScript usando sintaxe de desestruturação, os atacantes podem fazer com que o fluxo de trabalho execute comandos do sistema. Uma vez ativado, qualquer pessoa externa pode acionar o webhook e executar comandos remotamente.

A gravidade aumenta ainda mais quando combinada com a funcionalidade de webhook do n8n, que permite que fluxos de trabalho maliciosos sejam expostos publicamente. Nesses casos, a exploração não exige privilégios elevados além da criação do fluxo de trabalho, reforçando o risco resumido pelos pesquisadores da seguinte forma: se a criação do fluxo de trabalho for permitida, a invasão completa do servidor é possível.

Causa raiz: lacunas na aplicação de tipos e abuso em tempo de execução.

A vulnerabilidade surge de falhas nos mecanismos de sanitização do n8n e de uma incompatibilidade fundamental entre o sistema de tipos em tempo de compilação do TypeScript e o comportamento em tempo de execução do JavaScript. Embora o TypeScript imponha restrições de tipo durante a compilação, ele não pode garantir essas restrições para valores controlados pelo atacante e introduzidos em tempo de execução. Ao fornecer valores que não sejam strings, como objetos ou arrays, os atacantes podem contornar a lógica de sanitização que pressupõe entradas apenas de strings, neutralizando efetivamente controles de segurança críticos.

Potencial impacto em sistemas e dados

A exploração bem-sucedida dessa vulnerabilidade pode levar à completa violação do servidor. Os atacantes podem roubar credenciais, exfiltrar dados sensíveis, acessar o sistema de arquivos e serviços internos, invadir ambientes de nuvem conectados e sequestrar fluxos de trabalho de inteligência artificial. A capacidade de instalar backdoors persistentes aumenta ainda mais o risco de acesso oculto e de longo prazo.

Versões afetadas e orientações de mitigação

A vulnerabilidade afeta versões do n8n anteriores às versões corrigidas e foi descoberta com a contribuição de dez pesquisadores de segurança independentes. As seguintes versões são afetadas, juntamente com as medidas paliativas recomendadas para os casos em que a aplicação imediata de patches não seja viável:

Versões afetadas: versões do n8n anteriores a 1.123.17 e 2.5.2, para as quais as correções já foram lançadas.

Medidas recomendadas: restringir a criação e edição de fluxos de trabalho a usuários totalmente confiáveis e implantar o n8n em um ambiente reforçado com privilégios de sistema operacional limitados e acesso restrito à rede.

Esta questão destaca a necessidade de estratégias de validação em camadas. As garantias em tempo de compilação devem ser complementadas por verificações rigorosas em tempo de execução, especialmente ao lidar com entradas não confiáveis. As revisões de código devem se concentrar em rotinas de sanitização e evitar suposições sobre tipos de entrada que não são aplicadas em tempo de execução.

Vulnerabilidades adicionais de alta gravidade ao n8n

Além da CVE-2026-25049, a n8n publicou avisos para quatro falhas de segurança adicionais, duas das quais são classificadas como críticas:

CVE-2026-25053 (CVSS 9.4) : Injeção de comando do sistema operacional no nó Git, permitindo que usuários autenticados com permissões de fluxo de trabalho executem comandos ou leiam arquivos arbitrários; corrigido nas versões 2.5.0 e 1.123.10.

CVE-2026-25054 (CVSS 8.5) : Vulnerabilidade de cross-site scripting armazenada em um componente de renderização Markdown, permitindo a execução de scripts com privilégios de mesma origem e potencial apropriação de conta; corrigida nas versões 2.2.1 e 1.123.9.

CVE-2026-25055 (CVSS 7.1) : Problema de travessia de diretório no nó SSH que pode levar à gravação de arquivos em locais não intencionais e possível execução remota de código em sistemas de destino; corrigido nas versões 2.4.0 e 1.123.12.

CVE-2026-25056 (CVSS 9.4) : Vulnerabilidade de escrita arbitrária de arquivos no modo de consulta SQL do nó Merge, que pode resultar em execução remota de código; corrigida nas versões 2.4.0 e 1.118.0.

Atualize com urgência para reduzir o risco.

Dada a abrangência e a gravidade das vulnerabilidades identificadas, recomenda-se fortemente a atualização das instalações do n8n para as versões mais recentes disponíveis. A aplicação imediata de patches continua sendo a defesa mais eficaz contra a exploração e a consequente invasão.