N8N · N8N · CVE-2026-27493
**Nome do Software Vulnerável e Versões Afetadas**
Versões do n8n anteriores a 2.10.1
Versões do n8n anteriores a 2.9.3
Versões do n8n anteriores a 1.123.22
**Descrição**
O n8n é uma plataforma de automação de fluxo de trabalho suscetível a um problema de injeção de expressão de segunda ordem dentro de seus nós de Formulário. Um atacante não autenticado pode injetar e avaliar expressões arbitrárias do n8n enviando dados de formulário manipulados. Isso pode levar à execução remota de código no host do n8n se combinado com uma fuga de sandbox de expressões. O problema requer uma configuração específica de fluxo de trabalho onde um nó de Formulário interpola um valor de um usuário não autenticado, e o valor do campo começa com o caractere '=', causando uma dupla avaliação do conteúdo. A vulnerabilidade por si só é limitada aos dados dentro do contexto de expressão do n8n, mas pode escalar para execução remota de código quando encadeada com uma fuga de sandbox separada.
**Recomendações**
Atualize o n8n para a versão 2.10.1 ou posterior.
Atualize o n8n para a versão 2.9.3 ou posterior.
Atualize o n8n para a versão 1.123.22 ou posterior.
Se a atualização não for possível imediatamente, revise o uso dos nós de Formulário quanto às pré-condições descritas.
Se a atualização não for possível imediatamente, desative o nó de Formulário adicionando `n8n-nodes-base.form` à variável de ambiente `NODES EXCLUDE`.
Se a atualização não for possível imediatamente, desative o nó de Form Trigger adicionando `n8n-nodes-base.formTrigger` à variável de ambiente `NODES EXCLUDE`.