CVE-2026-25049: n8n: falha no tratamento de expressões permite execução de comandos no host

Visão geral

A CVE-2026-25049 é uma falha crítica no n8n, plataforma de automação de fluxos de trabalho de código aberto. O registro descreve um cenário em que um usuário autenticado com direito de criar ou modificar fluxos consegue, por meio do tratamento de expressões nos parâmetros dos fluxos, executar comandos no sistema que hospeda o n8n. A fraqueza é classificada como CWE-913, Controle Impróprio de Recursos de Código Gerenciados Dinamicamente.

Impacto

O registro indica que a exploração bem-sucedida leva à execução de comandos de sistema não intencionais no host. O NVD atribui pontuação CVSS 3.1 de 9.9, com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, que indica acesso pela rede, baixa complexidade, privilégios baixos, nenhuma interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade. A GitHub, como CNA, informa pontuação CVSS 4.0 de 9.4.

• A confidencialidade, a integridade e a disponibilidade do host podem ser afetadas, conforme o vetor.
• O privilégio exigido é apenas o de criar ou modificar fluxos, não o de administrador.

Produtos e versões afetadas

O produto afetado é o n8n. O registro lista duas faixas: versões anteriores à 1.123.17 e versões da 2.0.0 até antes da 2.5.2.

• Correção na 1.123.17 para a linha 1.x.
• Correção na 2.5.2 para a linha 2.x.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro consultado, portanto não há exploração ativa confirmada nas fontes consultadas. Não há pontuação EPSS no registro.

Correção e mitigação

As correções indicadas pelo fornecedor estão nos commits e no aviso do GitHub listados no registro. Atualize o n8n para a 1.123.17 ou posterior na linha 1.x, ou para a 2.5.2 ou posterior na linha 2.x.

• Inventarie todas as instâncias do n8n, incluindo ambientes de teste e desenvolvimento, e registre suas versões.
• Restrinja o direito de criar e modificar fluxos ao grupo mínimo necessário.
• Revise as contas com esse direito e remova as que não sejam utilizadas ou necessárias.
• Quando a atualização não puder ocorrer de imediato, restrinja o acesso de rede à interface do n8n a usuários confiáveis. O registro não descreve uma solução paliativa aprovada pelo fornecedor, então isso é apenas uma medida geral de endurecimento.

Orientação para detecção

• Analise os logs de auditoria e o histórico de alterações de fluxos em busca de criações ou modificações recentes feitas por contas inesperadas.
• Procure fluxos cujos parâmetros contenham conteúdo incomum ou inesperado e revise-os manualmente.
• Monitore o host do n8n em busca de processos filhos inesperados ou conexões de saída originadas pela conta de serviço do n8n.

Limitações das informações disponíveis

O registro não descreve o comportamento exato das expressões, os componentes afetados em detalhe nem qualquer prova de conceito pública. Não há pontuação EPSS, dados SSVC nem detalhes do KEV além do status listado. Não é possível saber, pelo registro, se configurações padrão ou comuns são mais expostas. Confirme os detalhes de versão no aviso do fornecedor antes de agir.

Perguntas frequentes

Quais versões do n8n são afetadas pela CVE-2026-25049?

O registro lista versões anteriores à 1.123.17 e versões da 2.0.0 até antes da 2.5.2. Atualize para a 1.123.17 ou posterior na linha 1.x, ou para a 2.5.2 ou posterior na linha 2.x.

Esta falha exige acesso de administrador?

Segundo o registro, o atacante precisa ser um usuário autenticado com permissão para criar ou modificar fluxos. Não se afirma que sejam necessários direitos de administrador.

Esta CVE é explorada ativamente?

Não. O registro indica que ela não consta no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.