PT-2026-50180 · N8N · N8N

Jubke · CVE-2026-54314 · Publicado 2026-06-16 · Atualizado 2026-07-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 2.24.0

Descrição A operação Decompress do nó de Compressão expande arquivos controlados por atacantes na memória sem impor limites ao tamanho da saída descompactada. Um atacante não autenticado pode enviar um arquivo compactado pequeno para um fluxo de trabalho de webhook público que utilize este nó, levando à exaustão de memória. Isso faz com que o processo do n8n seja encerrado, interrompendo todos os fluxos de trabalho na mesma instância.

Recomendações Atualize para a versão 2.24.0 ou posterior. Como alternativa temporária, desative o nó de Compressão adicionando n8n-nodes-base.compression à variável de ambiente NODES EXCLUDE. Restrinja fluxos de trabalho de webhook públicos que aceitam uploads de arquivos compactados apenas a endpoints autenticados.

Exploit

Correção

Enumeração de Fraquezas

CWE-409

Identificadores relacionados

CVE-2026-54314

GHSA-JQPW-QWW5-CJ4C

Produtos afetados

N8N

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/54xxx/CVE-2026-54314.json · Exploit
• https://github.com/n8n-io/n8n · Nota
• https://github.com/n8n-io/n8n/security/advisories/GHSA-jqpw-qww5-cj4c · Aviso do Fabricante
• https://osv.dev/vulnerability/ROOT-APP-NPM-CVE-2026-54314 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-jqpw-qww5-cj4c · Aviso do Fabricante
• https://t.me/cveNotify/173310 · Publicação no Telegram
• https://t.me/cveNotify/175936 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-54314 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-54314 · Aviso do Fabricante