Vulnerabilidad en n8n-io (CVE-2025-58177)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-79 Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)

Fecha de publicación:

15/09/2025

Última modificación:

19/10/2026

Descripción

n8n es una plataforma de automatización de flujos de trabajo de código abierto. Desde 1.24.0 hasta antes de 1.107.0, existe una vulnerabilidad de cross-site scripting (XSS) almacenado en @n8n/n8n-nodes-langchain.chatTrigger. Un usuario autorizado puede configurar el nodo LangChain Chat Trigger con JavaScript malicioso en el campo initialMessages y habilitar el acceso público para que la carga útil se ejecute en el navegador de cualquier usuario que visite la URL de chat público resultante. Esto puede usarse para phishing o para robar cookies u otros datos sensibles de los usuarios que acceden al enlace de chat público. El problema está solucionado en la versión 1.107.0. Se recomienda actualizar a la versión 1.107.0 o posterior. Como solución alternativa, el nodo chatTrigger afectado puede deshabilitarse. No se conocen otras soluciones alternativas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.40 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno