Vulnerabilidad en n8n (CVE-2026-27498)
Gravedad CVSS v4.0:
CRÍTICA
Tipo:
CWE-94
Control incorrecto de generación de código (Inyección de código)
Fecha de publicación:
25/02/2026
Última modificación:
25/02/2026
Descripción
n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 2.2.0 y 1.123.8, un usuario autenticado con permiso para crear o modificar flujos de trabajo podía encadenar el nodo Read/Write Files from Disk con operaciones git para lograr la ejecución remota de código. Al escribir en archivos de configuración específicos y luego activar una operación git, el atacante podía ejecutar comandos de shell arbitrarios en el host de n8n. El problema ha sido solucionado en las versiones 2.2.0 y 1.123.8 de n8n. Los usuarios deben actualizar a una de estas versiones o posteriores para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales. Limite los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, y/o deshabilite el nodo Read/Write Files from Disk añadiendo 'n8n-nodes-base.readWriteFile' a la variable de entorno 'NODES_EXCLUDE'. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
Impacto
Puntuación base 4.0
9.00
Gravedad 4.0
CRÍTICA
Referencias a soluciones, herramientas e información
- https://github.com/n8n-io/n8n/commit/97365caf253978ba8e46d7bc53fa7ac3b6f67b32
- https://github.com/n8n-io/n8n/commit/e22acaab3dcb2004e5fe0bf9ef2db975bde61866
- https://github.com/n8n-io/n8n/releases/tag/n8n@1.123.8
- https://github.com/n8n-io/n8n/releases/tag/n8n@2.2.0
- https://github.com/n8n-io/n8n/security/advisories/GHSA-x2mw-7j39-93xq