Os dois avisos afetam recursos diferentes do n8n. O Stripe Trigger aceita eventos falsificados sem conferir a assinatura, enquanto determinados workflows com formulários podem permitir acesso aos arquivos do servidor sem autenticação. Confira os recursos usados na sua instância e compare a versão instalada com a faixa de cada ficha.
Aplicativon8n
Data do compilado
Vulnerabilidades2
As versões corrigidas indicam a disponibilidade da correção no projeto. Você precisa conferir a versão efetivamente executada pela sua instância para confirmar a atualização.
Gravidade críticaCVSS: 10,0/10Correção disponível
Workflows com formulários podem expor arquivos do servidor sem autenticação
Uma falha na validação das requisições recebidas por webhooks permite acessar arquivos do servidor por meio da execução de determinados workflows baseados em formulários. Quando um desses workflows vulneráveis aceita acesso público, um atacante remoto pode alcançar arquivos sem se autenticar. A exposição pode revelar informações sensíveis armazenadas no sistema e permitir outros comprometimentos, conforme a configuração da instalação e o uso do workflow.
Casos de uso afetados
Você disponibiliza um formulário do n8n pela internet para iniciar um workflow. Se esse workflow estiver entre os afetados e a versão instalada pertencer à faixa vulnerável, a execução pode permitir acesso aos arquivos do servidor sem login.
Confira na sua instância
Identifique a versão efetivamente executada pelo n8n e compare-a com a faixa desta ficha. Localize os workflows baseados em formulários e confira quais URLs de formulário e webhook estão acessíveis pela internet. Para os formulários publicados, abra a URL em uma sessão sem login e observe se o formulário fica disponível, sem enviar conteúdo de exploração. Revise também as restrições de acesso dos webhooks associados. A disponibilidade pública confirma a exposição do endpoint, mas não demonstra sozinha que o workflow permite acessar arquivos.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
n8n
>= 1.65.0 <1.121.0
1.121.0
CVE-2026-21858. O comunicado não detalha quais configurações de workflow permitem o acesso aos arquivos e não apresenta uma alternativa oficial à atualização. Como medida temporária, você pode restringir ou desativar os endpoints públicos de formulários e webhooks até instalar a correção.
Gravidade moderadaCVSS: 6,5/10Correção disponível
Stripe Trigger aceita eventos falsificados sem validar a assinatura
O Node Stripe Trigger cria e armazena o segredo usado para validar a assinatura dos webhooks da Stripe, mas as versões afetadas não fazem essa conferência nas requisições recebidas. Um atacante que conhece a URL pode enviar um evento com o campo type correspondente ao evento configurado e executar o workflow sem autenticação. Isso permite simular notificações de pagamento ou assinatura e acionar as etapas seguintes como se a Stripe tivesse enviado o evento.
Casos de uso afetados
Você mantém um workflow ativo com o Node Stripe Trigger para reagir a pagamentos. Um evento falsificado pode executar as ações ligadas à confirmação do pagamento, conforme a configuração desse workflow.
Uma automação sua acompanha eventos de assinatura recebidos pelo Stripe Trigger. A falha permite enviar uma notificação falsa do tipo esperado e alterar o comportamento das etapas seguintes.
Confira na sua instância
Confira a versão em execução e localize os workflows ativos que usam o Node Stripe Trigger. Abra cada Node para identificar os tipos de evento configurados e examine as ações executadas após o recebimento. Nas execuções registradas, compare o identificador do evento recebido com o evento correspondente no painel da Stripe. Uma divergência merece investigação, mas essa comparação não comprova que a assinatura foi validada. Confira também os acessos concedidos ao workflow, pois eles permitem visualizar o identificador do webhook.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
n8n
>= 0.150.0 <2.2.2
2.2.2
CVE-2026-21894. A URL contém um identificador difícil de adivinhar, mas ele fica visível para acessos autorizados ao workflow. Até atualizar, você pode desativar os workflows afetados ou limitar seu acesso a colaboradores de confiança. Restringir esse acesso não corrige a ausência de validação da assinatura.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
