n8n ha corregido una vulnerabilidad grave que permitía a editores de flujos de trabajo autenticados ejecutar comandos en el servidor y acceder a credenciales cifradas. El fallo se originó por un escape en el sandbox de expresiones, afectando a varias versiones anteriores a la 2.31.5 y 2.32.1. Se recomienda a los administradores actualizar urgentemente la plataforma para evitar la ejecución remota de código.


n8n ha corregido un escape del sandbox de expresiones de gravedad alta que podría permitir que un editor de flujos de trabajo autenticado ejecute comandos del sistema operativo en el servidor que ejecuta la plataforma de automatización. Security Joes encontró el fallo mientras investigaba la corrección de febrero de n8n para el CVE-2026-27577 en busca de otro bypass.

Los rangos afectados son <2 .31.5="" y="">=2.32.0, <2 .32.1.="" 2.31.5="" 2.32.1.="" a="" como="" el="" en="" href="https://github.com/n8n-io/n8n/security/advisories/GHSA-gv7g-jm28-cr3m" las="" n8n="" problema="" rastrea="" rel="nofollow" se="" solucion="" versiones="" y="">GHSA-gv7g-jm28-cr3m, tiene una calificación de Alta con una puntuación CVSS 4.0 de 8.7, y hasta el 27 de julio de 2026 no se le había asignado ningún CVE.

Debes actualizar en lugar de confiar en la guía provisional de n8n para restringir el acceso a la instancia y la edición de flujos de trabajo solo a usuarios totalmente confiables. El aviso describe esos controles como mitigaciones incompletas y a corto plazo. No enumera ninguna versión 1.x parcheada y no indica si n8n Cloud se vio afectado.

La explotación requiere una cuenta válida con permiso para crear o modificar flujos de trabajo. No requiere acción de otro usuario. Un exploit exitoso ejecuta comandos con los privilegios del proceso n8n.

Detalles del análisis de Security Joes

Security Joes, en un informe compartido, afirmó que el acceso podría exponer la N8N_ENCRYPTION_KEY y permitir el descifrado de credenciales almacenadas en n8n. También podría abrir rutas hacia bases de datos conectadas, servicios internos y endpoints en la nube. La firma no había observado explotaciones reales cuando se preparó su informe. El aviso público no dice si el fallo fue explotado antes de la corrección.

Los constructores de flujos de trabajo de n8n utilizan expresiones como ={{ $json.email }}. Un reescritor de árbol de sintaxis abstracta redirige los identificadores de JavaScript libres en esas expresiones al contexto de datos controlado por n8n en lugar de al entorno de ejecución de Node.js. En la versión 2.31.4, VariablePolyfill.ts colocó ArrowFunctionExpression en una rama explícita de no operación. Por lo tanto, un cuerpo de flecha conciso como () => process podría resolver process al global real de Node.js en lugar del valor del sandbox.

El segundo punto ciego, dijo Security Joes, estaba en las comprobaciones de propiedades de n8n, que inspeccionan los nombres de propiedades estáticas en expresiones de miembros. Reflect.get() recibe la propiedad solicitada como un argumento de función. Los investigadores utilizaron esa distinción para recuperar process.getBuiltinModule, cargar child_process y ejecutar un comando en el host. Probaron la prueba de concepto contra n8n 2.30.4 tanto a través del paquete de flujo de trabajo publicado como de una instancia local de n8n.

Una comparación de los archivos fuente públicos de 2.31.4 y 2.31.5 confirma la brecha de la función de flecha. No confirma independientemente la cadena completa de explotación de Reflect.get() descrita en el informe de Security Joes. El reescritor corregido añade un manejador dedicado a ArrowFunctionExpression que enruta un identificador simple en un cuerpo de flecha conciso a través del contexto de datos.

"Ninguno por sí solo es suficiente. Ninguno estaba cubierto por las pruebas", dijo el equipo de investigación de Security Joes sobre las dos condiciones en las que se basaba su exploit. Security Joes estimó inicialmente que el fallo estaría cerca de la calificación Crítica de 9.4 del CVE-2026-27577; la puntuación actual publicada por el proveedor es de 8.7.

Recomendaciones para defensores

Los investigadores identificaron el escape residual el 14 de julio y lo informaron a través del programa de divulgación de vulnerabilidades de n8n el 15 de julio. n8n publicó las versiones corregidas el 22 de julio. Debes revisar los flujos de trabajo creados o modificados recientemente en busca de funciones de flecha inesperadas o JavaScript ofuscado. También debes buscar shells, PowerShell, curl o wget generados como hijos del proceso n8n o Node.js. Debes rotar las credenciales donde se encuentre una ejecución de flujo de trabajo sospechosa o actividad de comandos del host.

El hallazgo amplía una serie de escapes del sandbox de expresiones que n8n ha corregido desde 2025. Sigue al CVE-2026-27577, un escape calificado con 9.4 corregido en febrero después de que los investigadores descubrieran que el objeto process pasaba sin transformar a través de la misma capa de reescritura de identificadores.

En despliegues afectados donde n8n almacena credenciales con amplios privilegios o puede alcanzar sistemas internos sensibles, un atacante que comprometa una cuenta de edición de flujos de trabajo puede usar el fallo para ejecutar comandos como el proceso n8n y llegar a servicios accesibles desde el host de n8n.

Fuente:
THN