CVE-2026-54307: n8n: Autorização Incorreta Permite Acesso Cruzado a Credenciais de Outros Usuários via Editores de Workflows Compartilhados

Visão geral

A CVE-2026-54307 afeta a plataforma de automação de workflows n8n. Segundo o registro, um usuário de nível membro com acesso de Editor a um workflow compartilhado podia referenciar credenciais de outros usuários por meio de endpoints específicos da API pública. A causa raiz é classificada como Autorização Incorreta (CWE-863), com verificações de propriedade descritas como aplicadas apenas parcialmente.

Impacto

Confirmado pelo registro: acesso cruzado a credenciais, que podem incluir segredos usados para conectar o n8n a serviços externos.
Inferência: o vetor CVSS 3.1 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N) indica exploração pela rede, com baixa complexidade, privilégios baixos exigidos e sem interação do usuário, com alto impacto na confidencialidade e na integridade e mudança de escopo.
A condição exige que o compartilhamento de workflows esteja habilitado e que pelo menos um workflow tenha sido compartilhado com um usuário de nível membro como Editor.

Produtos e versões afetados

Produto listado: N8n N8n.
Versões listadas como afetadas: abaixo de 1.123.55; de 2.0.0 até antes de 2.25.7; e de 2.26.0 até antes de 2.26.2.
Corrigido em: 1.123.55, 2.25.7 e 2.26.2, segundo o registro e o aviso do fornecedor.

Status de exploração

O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada aparece nas fontes consultadas. Dados do EPSS não estão disponíveis no registro.

Correção e mitigação

Atualize o n8n para 1.123.55 na linha 1.x, 2.25.7 na linha 2.25 ou 2.26.2 na linha 2.26.
Consulte o aviso do fornecedor para as orientações de mitigação: GHSA-pmqw-72cg-wx85.
Até concluir a atualização, limite quais membros recebem acesso de Editor em workflows compartilhados, já que o registro associa o problema a essa condição.
Como precaução, rotacione credenciais que possam ter sido expostas a usuários sem permissão, caso logs ou dados de auditoria indiquem esse acesso.

Orientação de detecção

Revise logs de auditoria e registros de acesso à API em busca de requisições de contas de nível membro que referenciem credenciais fora de sua propriedade.
Audite quais workflows estão compartilhados com usuários membros como Editores e remova compartilhamentos desnecessários.

Limitações das informações disponíveis

O registro não fornece detalhes do vetor CVSS 4.0 além da pontuação 8.5 informada pelo CNA do GitHub.
Os endpoints específicos da API pública envolvidos não são citados no registro.
O registro não informa se logs mostrariam exploração, e não foram encontradas evidências de prova de conceito ou exploração nas fontes consultadas.

Perguntas frequentes

O que é a CVE-2026-54307?

É uma falha de autorização incorreta (CWE-863) no n8n que pode permitir que um usuário de nível membro com acesso de Editor a um workflow compartilhado referencie credenciais de outros por meio de determinados endpoints da API pública.

Quais versões do n8n estão corrigidas?

O registro indica correções nas versões 1.123.55, 2.25.7 e 2.26.2. As faixas afetadas são abaixo de 1.123.55, de 2.0.0 até antes de 2.25.7 e de 2.26.0 até antes de 2.26.2.

Esta vulnerabilidade está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.

O que os administradores devem fazer agora?

Atualizar para uma versão corrigida, revisar o aviso do fornecedor e limitar o acesso de Editor em workflows compartilhados até concluir a atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.