Los investigadores de ciberseguridad han revelado detalles de otra falla de seguridad de máxima gravedad en n8n , una popular plataforma de automatización del flujo de trabajo que permite a un atacante remoto no autenticado obtener el control total de las instancias vulnerables.
La vulnerabilidad, rastreada como CVE-2026-21858 (puntuación CVSS: 10.0), ha sido nombre en código Ni8 mare de Cyera Research Labs. El investigador de seguridad Dor Attias ha sido reconocido por descubrir y denunciar la falla el 9 de noviembre de 2025.
«Una vulnerabilidad en n8n permite a un atacante acceder a los archivos del servidor subyacente mediante la ejecución de ciertos flujos de trabajo basados en formularios», n8n dijo en un aviso publicado hoy. «Un flujo de trabajo vulnerable podría conceder acceso a un atacante remoto no autenticado. Esto podría provocar la exposición de la información confidencial almacenada en el sistema y, en función de la implementación, la configuración y el uso del flujo de trabajo, podría poner en peligro la seguridad».
Con el último desarrollo, n8n ha revelado cuatro vulnerabilidades críticas en las últimas dos semanas:
- CVE-2025-68613 (Puntuación CVSS: 9,9): un control inadecuado de los recursos de código gestionados de forma dinámica que podía permitir a los atacantes autenticados lograr la ejecución remota de código (RCE) en determinadas condiciones (se corrigió en las versiones 1.120.4, 1.121.1 y 1.122.0)
- CVE-2025-68668 o N8scape (puntuación CVSS: 9,9): una vulnerabilidad de elusión de entornos aislados que podía permitir a un usuario autenticado con permiso crear o modificar flujos de trabajo ejecutar comandos arbitrarios en el sistema host que ejecuta n8n (corregido en la versión 2.0.0)
- CVE-2026-21877 (Puntuación CVSS: 10.0): carga sin restricciones de un archivo con una vulnerabilidad de tipo peligroso que podría permitir a un atacante autenticado ejecutar código no confiable a través del servicio n8n, lo que pondría en peligro la instancia por completo (corregido en la versión 1.121.3)
Sin embargo, a diferencia de estas fallas, el CVE-2026-21858 no requiere ninguna credencial y aprovecha una» Tipo de contenido «Fallo de confusión para extraer secretos confidenciales, falsificar el acceso de administrador e incluso ejecutar comandos arbitrarios en el servidor.
La vulnerabilidad afecta a todas las versiones de n8n anteriores a la 1.65.0, incluida. Se solucionó en la versión 1.121.0, que se publicó el 18 de noviembre de 2025. Vale la pena señalar que las versiones más recientes de la biblioteca son la 1.123.10, 2.1.5, 2.2.4 y 2.3.0.
Según los detalles técnicos compartidos por Cyera con The Hacker News, el meollo del problema radica en la webhook n8n y mecanismo de manejo de archivos. Los webhooks, que son cruciales para recibir datos de aplicaciones y servicios cuando se producen ciertos eventos, se activan después de analizar la solicitud entrante mediante una función denominada «parseRequestBody ()».
Específicamente, la función está diseñada para leer el encabezado «Content-Type» de la solicitud e invocar otra función para analizar el cuerpo de la solicitud:
- Usa parseFormData (), también conocido como «analizador de carga de archivos», si el encabezado «Content-Type» es» datos multipartes/de formulario », que denota los datos del formulario
- Usa parseBody (), también conocido como «analizador de cuerpo normal» para todos los demás tipos de contenido
El analizador de carga de archivos, a su vez, utiliza la función parse () asociada a formidable , un módulo de Node.js para analizar datos de formularios y almacena el resultado decodificado en una variable global denominada «req.body.files». Estos datos rellenados son procesados por el webhook, que solo se ejecuta cuando el encabezado «Content-Type» está establecido en «multipart/form-data».
Por el contrario, el analizador corporal normal procesa el cuerpo de la solicitud HTTP entrante y almacena los datos extraídos en una variable global diferente conocida como «req.body».
El CVE-2026-21858 se produce cuando se ejecuta una función de gestión de archivos sin comprobar primero que el tipo de contenido es «multipart/form-data», lo que podría permitir a un atacante anular req.body.files. Cyera dijo que encontró un flujo muy vulnerable en la función que gestiona el envío de formularios («FormWebhook ()»), que invoca una función de gestión de archivos («CopyBinaryFile ()») para actuar sobre «req.body.files».
«Este es el problema: dado que esta función se llama sin verificar que el tipo de contenido sea 'multipart/form-datos', controlamos todo el objeto req.body.files», dijo Attias. «Esto significa que controlamos el parámetro filepath, de modo que, en lugar de copiar un archivo subido, podemos copiar cualquier archivo local del sistema».
«¿El resultado? Cualquier nodo situado después del nodo Formulario recibe el contenido del archivo local en lugar del que ha subido el usuario».
En cuanto a la forma en que se puede desarrollar el ataque, consideremos un sitio web que tenga una interfaz de chat para proporcionar información sobre varios productos en función de los archivos de especificaciones de productos cargados en la base de conocimientos de la organización mediante un flujo de trabajo de formulario. Con esta configuración, un usuario malintencionado puede aprovechar el agujero de seguridad para leer archivos arbitrarios de la instancia n8n y escalarlos a RCE siguiendo los siguientes pasos:
- Utilice la primitiva de lectura arbitraria para acceder a la base de datos ubicada en «/home/node/.n8n/database.sqlite» y cárguela en la base de conocimientos
- Extraiga el ID de usuario, el correo electrónico y la contraseña cifrada del administrador mediante la interfaz de chat
- Vuelva a utilizar la primitiva de lectura arbitraria para cargar un archivo de configuración ubicado en «/home/node/.n8n/config» y extraer la clave secreta de cifrado
- Utilice la información de usuario y clave obtenida para falsificar una cookie de sesión falsa y obtener acceso de administrador, lo que lleva a una omisión de autenticación
- Logre el RCE creando un nuevo flujo de trabajo con un» Ejecutar comando «nodo
«El radio de explosión de un n8n comprometido es enorme», dijo Cyera. «Una instancia de n8n comprometida no solo significa perder un sistema, sino que significa entregar a los atacantes las llaves de todo. Las credenciales de API, los tokens de OAuth, las conexiones a bases de datos y el almacenamiento en la nube: todo centralizado en un solo lugar. n8n se convierte en un punto único de error y en una mina de oro para los actores de amenazas».
A la luz de la gravedad de la falla, se recomienda a los usuarios que actualicen a la versión parcheada o posterior lo antes posible para una protección óptima, eviten exponer n8n a Internet y exijan la autenticación en todos los formularios. Como solución temporal, se recomienda restringir o deshabilitar los puntos finales de webhook y formularios de acceso público.
Post generado automaticamente, fuente oficial de la información: THEHACKERNEWS