PT-2026-40935 · N8N · N8N

Simonkoeck · CVE-2026-44791 · Publicado 2026-05-14 · Atualizado 2026-07-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 1.123.43 n8n versões anteriores a 2.20.7 n8n versões anteriores a 2.22.1

Descrição Um usuário autenticado com permissões para criar ou modificar fluxos de trabalho pode ignorar uma correção anterior de poluição de protótipo (prototype pollution) no nó XML. A poluição de protótipo ocorre quando um invasor manipula o protótipo de um objeto, podendo alterar o comportamento da aplicação. Quando combinado com outros nós, esse bypass pode levar à execução remota de código (RCE) no sistema host.

Recomendações Atualize para a versão 1.123.43 ou posterior. Atualize para a versão 2.20.7 ou posterior. Atualize para a versão 2.22.1 ou posterior. Limite as permissões de criação e edição de fluxos de trabalho apenas a usuários totalmente confiáveis. Desative o nó XML adicionando n8n-nodes-base.xml à variável de ambiente NODES EXCLUDE.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

CVE-2026-44791

GHSA-WRWR-H859-XH2R

Produtos afetados

N8N

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/44xxx/CVE-2026-44791.json · Exploit
• https://github.com/n8n-io/n8n/security/advisories/GHSA-wrwr-h859-xh2r · Aviso do Fabricante
• https://github.com/n8n-io/n8n · Nota
• https://twitter.com/integ_sec/status/2065070254363910204 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wrwr-h859-xh2r · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44791 · Nota de Segurança
• https://github.com/advisories/GHSA-hqr4-h3xv-9m3r · Nota
• https://reddit.com/r/CVEWatch/comments/1tjfwja/top_10_trending_cves_21052026 · Publicação no Reddit
• https://t.me/cveNotify/173846 · Publicação no Telegram
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-44791 · Aviso do Fabricante
• https://twitter.com/autumn_good_35/status/2055288212642508838 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-44791 · Aviso do Fabricante
• https://twitter.com/UpwindMDR/status/2054876407382036673 · Publicação no Twitter
• https://t.me/cveNotify/173342 · Publicação no Telegram
• https://twitter.com/Netlas_io/status/2057031576375226702 · Publicação no Twitter