Vulnerabilidades críticas em n8n que permitem a execução de código a partir de formulários públicos

Pesquisadores de cibersegurança tiraram à luz várias vulnerabilidades críticas em n8n, a plataforma de automação de fluxos de trabalho, que foram corrigidas nas últimas entregas do projeto. As falhas permitem desde a execução remota de comandos até a avaliação de expressões sem autenticação através de formulários públicos, e colocam em risco tanto instalações auto-gestionadas como implantaçãos na nuvem.

Duas das falhas mais graves correspondem aos identificadores CVE-2026-27577 e CVE-2026-27493. A primeira constitui uma ruptura do isolamento no compilador de expressões: um caso que não foi tratado dentro do reescritor da árvore de sintaxe abstrata permite que certas expressões sejam executadas sem a transformação de segurança esperada, abrindo a porta à execução de comandos no servidor quando um usuário com permissões suficientes cria ou modifica um fluxo. A segunda aproveita o funcionamento público dos endpoints de formulários de n8n: um mecanismo de dupla avaliação nos nós de formulário pode permitir que um atacante injete expressões maliciosas sem necessidade de autenticar-se, por exemplo, empregando um formulário de contato exposto.

A combinação de ambas as falhas pode ser especialmente perigosa: A avaliação não autenticada de uma expressão em um formulário público pode ser encadeada com um escape do sandbox de expressões para alcançar execução de código no host que corre n8n. Pesquisadores de Pillar Security demonstraram cenários em que bastava introduzir uma carga no campo "Nome" de um formulário para executar comandos no sistema afetado.

Além desses vetores, os mantenedores de n8n corrigiram duas vulnerabilidades críticas adicionais que também poderiam desembocar em execução arbitrária de código: CVE-2026-27495, relacionada com a sandbox do executor de tarefas JavaScript, e CVE-2026-27497, que afeta o modo de consulta SQL do nodo Merge e permitia escrever arquivos arbitrários no servidor.

As versões afectadas abrangem ramos anteriores e meias do projecto: versões anteriores a 1.123.22, a série 2.0.0 até 2.9.2, e a série 2.10.0 até 2.10.0 inclusive. Os adesivos estão disponíveis em 1.123.22, 2.9.3 e 2.10.1. Os avisos oficiais e os detalhes técnicos podem ser consultados nos repositórios de segurança do projeto no GitHub e na análise dos descubridores; para mais contexto técnico e medidas concretas, revisa as entradas nos links da própria comunidade: a nota de segurança de n8n no GitHub e o relatório de Pillar Security.

O risco prático é alto porque, além de executar código, um atacante com sucesso poderia acessar a variável de ambiente que n8n usa para cifrar credenciais ( N8N_ENCRYPTION_KEY) e, com isso, decifra tokens, chaves da AWS, senhas de bases de dados e outros segredos guardados na instância. Por esse motivo, a exploração não só permite o controle do servidor, mas também o compromisso de integrações e serviços ligados desde os fluxos.

Se a actualização imediata não for viável, o n8n recomenda reduzir a superfície de exposição: restringir quem pode criar e editar fluxos —limitando essas permissões a pessoal de confiança plena —, executar n8n em ambientes com privilégios de sistema reduzidos e controles de rede rigorosos, e aplicar mitigações pontuais sobre os nós vulneráveis. As acções temporárias sugeridas incluem a exclusão dos nós de formulário (n8n-nodes-base.formen8n-nodes-base.formTrigger) através da variável de ambienteNODES_EXCLUDE, o uso do modo de runners externos (N8N_RUNNERS_MODE=external) para acotar o alcance do executor JavaScript e a desactivação do nodo Merge se aplicável. Os desenvolvedores de n8n lembram que estas são soluções provisórias e não substituem a instalação dos adesivos oficiais.

Para operadores preocupados com a integridade dos seus ambientes, além de aplicar as atualizações, é aconselhável auditar o uso de nodos de formulário e rotas públicas expostas, rotar chaves e segredos se se suspeitar de compromisso, revisar logs e atividade incomum e fortalecer a segmentação de rede e as políticas de acesso ao redor do servidor de n8n. A consulta de registros e a busca de execuções inesperadas de comandos ou modificações de workflows são passos práticos para detectar tentativas de exploração.

Embora não haja relatórios públicos de exploração em massa em ambientes produtivos até ao momento, a gravidade das falhas e a facilidade de aproveitamento em cenários com formulários públicos tornam a atualização imediata a recomendação principal. Você pode ler as correções nos avisos oficiais de n8n no GitHub e seguir a análise técnica no relatório de Pillar Security para entender melhor as cadeias de ataque e os indicadores de compromisso.

Ligações úteis para aprofundar: explicação e adesivos nas advisories do GitHub sobre CVE-2026-27577 e CVE-2026-27493, análise de Pillar Security sobre a exploração via formulários aqui, e outras correcções ligadas aos avisos de segurança do projecto: CVE-2026-27495 e CVE-2026-27497. Para referências de vulnerabilidades públicas, revisa a entrada correspondente no inventário de NIST/NVD quando disponível: https://nvd.nist.gov.

Em suma, a lição para administradores e equipamentos de segurança é clara: diante de sistemas que permitem executar lógica ou código em tempo de execução, a combinação de endpoints públicos e sandboxes incompletos é um vetor crítico. Aplicar adesivos, reduzir permissões e remover nós desnecessários são medidas imediatas que reduzem o risco enquanto uma resposta mais ampla é completa.