Vulnerabilidad en n8n (CVE-2026-27494)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
25/02/2026
Última modificación:
27/02/2026
Descripción
n8n es una plataforma de automatización de flujos de trabajo de código abierto. Antes de las versiones 2.10.1, 2.9.3 y 1.123.22, un usuario autenticado con permiso para crear o modificar flujos de trabajo podía usar el nodo de Código Python para escapar del sandbox. El sandbox no restringía suficientemente el acceso a ciertos objetos Python incorporados, permitiendo a un atacante exfiltrar contenidos de archivos o lograr RCE. En instancias que usan Task Runners internos (modo de ejecutor predeterminado), esto podría resultar en un compromiso total del host de n8n. En instancias que usan Task Runners externos, el atacante podría obtener acceso o impactar otras tareas ejecutadas en el Task Runner. Los Task Runners deben habilitarse usando `N8N_RUNNERS_ENABLED=true`. El problema ha sido solucionado en las versiones de n8n 2.10.1, 2.9.3 y 1.123.22. Los usuarios deben actualizar a esta versión o posterior para remediar la vulnerabilidad. Si la actualización no es posible de inmediato, los administradores deben considerar las siguientes mitigaciones temporales. Limitar los permisos de creación y edición de flujos de trabajo solo a usuarios de plena confianza, y/o deshabilitar el nodo de Código añadiendo `n8n-nodes-base.code` a la variable de entorno `NODES_EXCLUDE`. Estas soluciones provisionales no remedian completamente el riesgo y solo deben usarse como medidas de mitigación a corto plazo.
Impacto
Puntuación base 4.0
7.10
Gravedad 4.0
ALTA