La vulnerabilidad crítica de n8n permite a los atacantes lograr la ejecución remota de código

Una falla de seguridad crítica en n8n, una plataforma de automatización de flujo de trabajo de código abierto ampliamente utilizada, expone los servidores host a ataques de ejecución remota de código (RCE). Registrada como CVE-2026-33660, esta vulnerabilidad crítica permite a los actores de amenazas autenticados eludir las restricciones de seguridad integradas, acceder a datos confidenciales y, en última instancia, comprometer toda la instancia del host subyacente.

AlaSQL Sandbox Escape El núcleo de la vulnerabilidad reside en el nodo "Fusionar" de los flujos de trabajo n8n, específicamente cuando los usuarios activan el modo "Combinar por SQL". Debido a que la aplicación controla incorrectamente la generación de código a partir de entradas influenciadas externamente (CWE-94: Inyección de código), los atacantes pueden enviar instrucciones maliciosas a través del nodo. Si un atacante tiene el permiso básico para crear o modificar flujos de trabajo, puede aprovechar este escape de la zona de pruebas para leer archivos locales directamente desde el sistema host n8n. Desde allí, pueden escalar fácilmente el ataque para ejecutar código arbitrario de forma remota, obteniendo acceso administrativo profundo a la infraestructura del servidor.

CVE-2026-33660, que obtuvo una calificación de gravedad crítica en los marcos CVSS 3.1 y CVSS 4.0, representa un riesgo grave para los entornos de automatización empresarial. La publicación La vulnerabilidad crítica de n8n permite a los atacantes lograr la ejecución remota de código apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗