Una vulnerabilidad crítica de ejecución remota de código ha sido descubierta en n8n, la plataforma de automatización de flujo de trabajo de código abierto, exponiendo a más de 103.000 instancias potencialmente vulnerables en todo el mundo.

Se rastrea como CVE-2025-68613 con una puntuación de gravedad CVSS máxima de 9.9. La vulnerabilidad existe dentro del sistema de evaluación de expresiones de flujo de trabajo de n8n.

El fallo permite a los atacantes autenticados ejecutar código arbitrario con privilegios completos de proceso, lo que podría llevar a un compromiso completo del sistema.

Detalles de la vulnerabilidad

Bajo ciertas condiciones, las expresiones introducidas por usuarios autenticados se ejecutan sin el aislamiento adecuado, dándoles acceso al sistema subyacente.

Este fallo de diseño permite a los atacantes con acceso legítimo omitir los límites de seguridad y ejecutar código arbitrario. La explotación exitosa otorga a los atacantes acceso no autorizado a datos confidenciales almacenados dentro de los flujos de trabajo.

La capacidad de modificar las configuraciones del flujo de trabajo y ejecutar operaciones a nivel del sistema. El impacto se extiende más allá de las instancias individuales, especialmente en lo que respecta a las organizaciones que administran procesos de automatización críticos.

La vulnerabilidad afecta a las versiones de n8n a partir de 0.211.0 a través de múltiples ramas de lanzamiento.

Parches han sido lanzados en tres vías de actualización:

El equipo de seguridad de n8n recomienda encarecidamente actualizar a las últimas versiones parcheadas. Para las organizaciones que no puedan actualizar de inmediato, las mitigaciones temporales incluyen la restricción de la creación de flujos de trabajo.

Los permisos de edición solo a usuarios de confianza y la implementación de n8n en entornos reforzados con privilegios de sistema operativo restringidos y acceso a la red.

Sin embargo, estas soluciones alternativas no eliminan el riesgo y solo sirven como medidas a corto plazo.

Estado y análisis de la explotación

A partir del 19 de diciembre de 2025, la fecha de divulgación, no se han informado explotaciones activas en la naturaleza. Sin embargo, SecureLayer7 ha publicado una guía de explotación de prueba de concepto, lo que aumenta el riesgo de futuros ataques.

Los datos de Censys revelan la enorme escala de la exposición, identificando 103.476 instancias de n8n potencialmente vulnerables en redes globales, lo que enfatiza la urgencia de los esfuerzos de parcheo.

Las organizaciones que utilicen n8n deben priorizar el parcheo inmediato a las últimas versiones disponibles. Los equipos de seguridad deben auditar los permisos del flujo de trabajo, revisar las modificaciones recientes del flujo de trabajo y supervisar los registros del sistema para detectar actividades no autorizadas.

Dada la naturaleza crítica y la amplia exposición, es esencial tratar esto como un incidente de seguridad de alta prioridad para proteger la infraestructura de automatización y los datos confidenciales.