PT-2026-22034 · N8N · N8N

Allsmog + 1 · Publicado 2026-02-25 · Atualizado 2026-03-04 · CVE-2026-27497

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 2.10.1 n8n versões anteriores a 2.9.3 n8n versões anteriores a 1.123.22

Descrição O n8n é uma plataforma de automação de fluxos de trabalho de código aberto. Um usuário autenticado com permissão para criar ou modificar fluxos de trabalho poderia explorar o modo de consulta SQL do nó Merge para executar código arbitrário e gravar arquivos arbitrários no servidor do n8n. Isso poderia permitir, potencialmente, o controle total do servidor.

Recomendações Atualize para a versão 2.10.1 do n8n ou posterior. Atualize para a versão 2.9.3 do n8n ou posterior. Atualize para a versão 1.123.22 do n8n ou posterior.

Exploit

Correção

RCE

Code Injection

SQL injection

Enumeração de Fraquezas

CWE-94

CWE-89

Identificadores relacionados

CVE-2026-27497

GHSA-WXX7-MCGF-J869

Produtos afetados

N8N

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27497.json · Exploit
• https://github.com/n8n-io/n8n · Nota
• https://github.com/n8n-io/n8n/releases/tag/n8n@2.9.3 · Nota
• https://github.com/n8n-io/n8n/security/advisories/GHSA-wxx7-mcgf-j869 · Aviso do Fabricante
• https://github.com/n8n-io/n8n/releases/tag/n8n@1.123.22 · Nota
• https://github.com/n8n-io/n8n/releases/tag/n8n@2.10.1 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-27497 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-27497 · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2027006312094044436 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wxx7-mcgf-j869 · Aviso do Fabricante
• https://twitter.com/autumn_good_35/status/2027029506771628220 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2027004273159016787 · Publicação no Twitter
• https://twitter.com/_cvereports/status/2026917727219187887 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/2026925546987196466 · Publicação no Twitter
• https://t.me/cveNotify/153268 · Publicação no Telegram