Acesso indevido ao webhook por comparação parcial de IP
O Node Webhook procura o texto cadastrado na lista de IPs permitidos dentro do endereço de origem da requisição. Com essa comparação parcial, um atacante pode acessar o webhook usando um endereço não autorizado que contenha o trecho aceito pela configuração. A falha afeta tanto IPv4 quanto IPv6 e compromete a restrição de acesso dos workflows que usam essa lista.
Casos de uso afetados
- Você restringe o acesso a um workflow pela lista de IPs do Node Webhook. Uma requisição de outra origem pode ser aceita quando o endereço contém o texto cadastrado, mesmo sem corresponder ao endereço completo autorizado.
Confira na sua instância
Confira a versão em execução e abra os Nodes Webhook dos workflows que usam a lista de IPs permitidos. Para testar a comparação, use um workflow de teste sem ações externas e envie requisições de duas origens sob seu controle: uma com o endereço autorizado e outra com um endereço diferente que contenha o texto da entrada cadastrada. Confira os endereços efetivamente recebidos pelo n8n e compare as respostas com o histórico de execução. O endereço diferente deve ser recusado. Repita a conferência com IPv4 e IPv6 quando ambos forem usados no seu ambiente.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| n8n (npm) | >= 1.36.0 | 2.2.0 |
O aviso também identifica a falha como CVE-2025-68949 e informa a correção na versão 2.2.0. A faixa afetada permanece como publicada pela API, sem limite superior. Durante a espera pela atualização, acrescente autenticação ao webhook, como um segredo compartilhado ou uma chave de API, e aplique a filtragem de IP no reverse proxy ou firewall. Evite entradas curtas ou baseadas apenas em prefixos. Essas medidas complementam a restrição de acesso, mas não corrigem a comparação dentro do Node.
