Pesadilla en n8n: nuevas vulnerabilidades sacuden la plataforma de automatización de procesos

Un equipo de especialistas en seguridad informática descubrió dos vulnerabilidades críticas en la plataforma de automatización de flujos de trabajo n8n. Ambas fallas permiten a usuarios autorizados ejecutar código arbitrario en el sistema objetivo, lo que puede conducir a la toma de control de toda la plataforma.

Los problemas fueron identificados por investigadores de JFrog. La primera de ellas recibió el identificador CVE-2026-1470 y una puntuación de 9.9 en la escala CVSS. Está relacionada con la inyección de código mediante el mecanismo eval y permite eludir la protección Expression Sandbox. En un ataque exitoso, el atacante puede ejecutar código JavaScript en el nodo principal de n8n.

La segunda vulnerabilidad, CVE-2026-0863, tiene una puntuación de 8.5. Afecta al entorno python-task-executor y permite eludir sus restricciones, obteniendo acceso para ejecutar comandos Python arbitrarios a nivel del sistema operativo. Ambas fallas requieren autorización previa, pero aun así suponen un alto riesgo —especialmente en configuraciones que usan el denominado modo «interno» de ejecución de tareas. Los desarrolladores de n8n advierten que ese modo no garantiza un aislamiento adecuado entre los procesos de la plataforma y las tareas en ejecución, y recomiendan usar el modo «externo» en producción.

Según los autores del informe, la plataforma n8n se usa con frecuencia para automatizar procesos internos a nivel de toda la empresa —incluido el trabajo con APIs de modelos de lenguaje, datos de ventas y sistemas internos de gestión de accesos. En caso de compromiso, el atacante podría obtener privilegios prácticamente ilimitados en la infraestructura de la organización.

Para mitigar los riesgos, los usuarios deben actualizar a versiones seguras. Para CVE-2026-1470: 1.123.17, 2.4.5 o 2.5.1. Para CVE-2026-0863: 1.123.14, 2.3.5 o 2.4.2.

Las vulnerabilidades se divulgaron apenas unas semanas después de la publicación de datos sobre otro problema crítico en n8n, denominado Ni8mare y con identificador CVE-2026-21858. Ese fallo permite a un atacante no autorizado tomar completamente el control de una instancia vulnerable de la plataforma. Según el fondo Shadowserver, al 27 de enero de 2026 siguen siendo vulnerables más de 39 mil instancias.

Según representantes de JFrog, el incidente subraya la dificultad de aislar intérpretes de lenguajes de alto nivel como JavaScript y Python. Incluso con múltiples capas de validación, listas de construcciones prohibidas y mecanismos basados en el análisis del árbol sintáctico, existen vías de escape que permiten salir del entorno protegido. En este caso bastaron construcciones de lenguaje obsoletas, peculiaridades del intérprete y el comportamiento en el manejo de excepciones.