Un fallo de seguridad crítica en n8n, una plataforma de automatización de flujos de trabajo de código abierto ampliamente utilizada, expone los servidores anfitriones a ataques de Ejecución Remota de Código (RCE). Registrada como CVE-2026-33660, esta vulnerabilidad crítica permite a actores de amenazas autenticados eludir las restricciones de seguridad integradas, acceder a datos sensibles y, en última instancia, comprometer toda la instancia subyacente del host. 

Una falla de seguridad crítica en n8n, una plataforma de automatización de flujos de trabajo de código abierto ampliamente utilizada, expone los servidores host a ataques de Ejecución Remota de Código (RCE).

Registrada como CVE-2026-33660, esta vulnerabilidad crítica permite a actores de amenazas autenticados eludir las restricciones de seguridad integradas, acceder a datos sensibles y, en última instancia, comprometer toda la instancia subyacente del host.

Escape de la caja de arena de AlaSQL

El núcleo de la vulnerabilidad reside en el nodo “Merge” de los flujos de trabajo de n8n, específicamente cuando los usuarios activan el modo “Combine by SQL”.

n8n utiliza una caja de arena de AlaSQL para ejecutar estas operaciones SQL de manera segura. Sin embargo, investigadores de seguridad descubrieron que esta caja de arena no restringe adecuadamente ciertas declaraciones SQL.

Dado que la aplicación controla incorrectamente la generación de código a partir de entradas influenciadas externamente (CWE-94: Inyección de Código), los atacantes pueden introducir instrucciones maliciosas a través del nodo.

Si un atacante tiene el permiso básico para crear o modificar flujos de trabajo, puede aprovechar este escape de la caja de arena para leer archivos locales directamente desde el sistema host de n8n.

A partir de ahí, puede escalar fácilmente el ataque para ejecutar código arbitrario de forma remota, obteniendo acceso administrativo profundo a la infraestructura del servidor.

Con una calificación de gravedad Crítica en los marcos CVSS 3.1 y CVSS 4.0, el CVE-2026-33660 representa un riesgo grave para los entornos de automatización empresarial.

El vector de ataque es estrictamente basado en red y presenta una baja complejidad. Lo más preocupante es que el exploit no requiere interacción del usuario y solo depende de privilegios de bajo nivel.

Una vez que un atacante compromete cualquier cuenta con capacidad de edición de flujos de trabajo, puede pivotar hacia la toma completa del servidor, comprometiendo la confidencialidad, integridad y disponibilidad del sistema.

El equipo de desarrollo de n8n ha abordado oficialmente el problema en sus últimas versiones en GitHub. Los equipos de seguridad y administradores de sistemas deben actualizar sus instancias de inmediato para evitar la explotación.

Si la aplicación inmediata de parches interrumpe las operaciones comerciales, los administradores deben implementar mitigaciones temporales para reducir la exposición.

Las organizaciones deben auditar el acceso de usuarios y limitar estrictamente los permisos de creación y modificación de flujos de trabajo solo al personal de confianza.

Además, los administradores pueden desactivar completamente el componente vulnerable añadiendo n8n-nodes-base.merge a la variable de entorno NODES_EXCLUDE.

Aunque estas soluciones alternativas ofrecen protección a corto plazo, n8n advierte que no eliminan por completo el riesgo. Aplicar los parches oficiales sigue siendo la única estrategia de remediación permanente contra esta amenaza.

Fuentes:
https://cybersecuritynews.com/n8n-vulnerability/