No pasa un día sin parche: ¿por qué se detectan cada vez más vulnerabilidades críticas en n8n?

Alrededor de la plataforma de automatización de flujos de trabajo n8n ha surgido nuevamente un serio incidente de seguridad. En una nueva advertencia los desarrolladores informaron sobre una vulnerabilidad crítica que, si se explota con éxito, permite ejecutar en el servidor comandos del sistema arbitrarios.

El problema recibió el identificador CVE-2026-25049 y una puntuación de 9,4 en la escala CVSS. En esencia, se trata de una elusión de la corrección publicada previamente para CVE-2025-68613, otro fallo crítico resuelto en diciembre de 2025. Una depuración insuficiente de los datos en el mecanismo de evaluación de expresiones permite eludir las restricciones del entorno aislado de n8n y conseguir la ejecución de comandos en el host donde se ejecuta la plataforma.

Para realizar el ataque se necesita un usuario autenticado con permisos para crear o modificar flujos de trabajo. Además, SecureLayer7 señala un escenario concreto que aumenta el riesgo si se emplean webhooks de n8n. Un atacante puede preparar un flujo de trabajo con un webhook públicamente accesible sin autenticación y añadir una expresión maliciosa en los parámetros del nodo; tras activarse, ese webhook se convierte en un punto para ejecutar comandos de forma remota.

Las consecuencias no se limitan a la toma del servidor. Pillar Security describe los riesgos de robo de claves API, claves de proveedores en la nube, contraseñas de bases de datos y tokens OAuth, así como el acceso al sistema de archivos y a recursos internos, incluidas cuentas en la nube relacionadas y cadenas de automatización con componentes de IA.

Endor Labs relaciona la causa del fallo con la discrepancia entre las comprobaciones de tipos de TypeScript en la etapa de compilación y el comportamiento de JavaScript en tiempo de ejecución. Por ello, una validación diseñada para valores de tipo cadena puede ser eludida por datos de otro tipo que introduce el atacante.

La vulnerabilidad afecta a versiones de n8n anteriores a 1.123.17 y a las anteriores a 2.5.2, en las que ya ha sido corregida. Si no es posible actualizar de inmediato, una medida sensata es restringir los permisos de creación y edición de flujos de trabajo solo a usuarios plenamente de confianza y ejecutar n8n en un entorno más aislado con privilegios mínimos y restricciones de red.

Al mismo tiempo, n8n publicó advertencias sobre varios otros fallos. Entre ellos CVE-2026-25053 con puntuación 9,4, inyección de comandos del sistema en el nodo Git, y CVE-2026-25056 con puntuación 9,4, riesgo de escritura de archivos arbitrarios mediante el modo SQL Query en el nodo Merge; ambos escenarios pueden conducir potencialmente a ejecución remota de código. También se mencionan CVE-2026-25054, un XSS persistente en el componente de renderizado de markdown, y CVE-2026-25055, evasión de rutas al transferir archivos mediante el nodo SSH.