Os avisos de 25/03/2026 descrevem falhas nos workflows, nas credenciais e em recursos opcionais do n8n. Você pode conferir quais condições existem na sua instância, examinar os campos envolvidos e comparar a versão em execução com a correção de cada ficha.
Aplicativon8n
Data do compilado
Vulnerabilidades15
Todos os 15 avisos foram publicados em 25/03/2026. As faixas reproduzem os valores da API por linha, inclusive limites inferiores ausentes. A correção disponível no projeto precisa ser aplicada à sua instância. As conferências orientam uma revisão sem explorar as falhas.
Gravidade críticaCVSS: 9,4/10Correção disponível
Execução de código pelo modo SQL do Node Merge
O modo Combine by SQL do Node Merge usa o AlaSQL com restrições insuficientes para certos comandos SQL. Um atacante autenticado, autorizado a criar ou modificar workflows, pode explorar esse processamento para ler arquivos locais e executar código no servidor do n8n.
Casos de uso afetados
Você permite a edição de workflows que combinam entradas pelo modo Combine by SQL do Merge. A consulta configurada nesse Node pode alcançar arquivos do servidor e comprometer a instância.
Confira na sua instância
Abra os Nodes Merge dos workflows e identifique o uso de Combine by SQL. Revise as consultas e as permissões de edição sem executar comandos suspeitos. Confirme a versão instalada e, caso use a mitigação por desativação, confira n8n-nodes-base.merge em NODES_EXCLUDE.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.14.x
< 2.14.1
>= 2.14.1
2.13.x
< 2.13.3
>= 2.13.3
1.123.x
< 1.123.27
>= 1.123.27
A desativação do Merge e a restrição de edição são medidas temporárias. A correção exige uma versão indicada para a sua linha.
Gravidade críticaCVSS: 9,4/10Correção disponível
Alteração de Object.prototype pelo GSuiteAdmin com execução de código
Um campo manipulado na configuração do Node GSuiteAdmin permite gravar propriedades controladas pelo atacante em Object.prototype, compartilhado pelos objetos JavaScript. Um membro autenticado com permissão para criar ou editar workflows pode usar essa alteração de protótipo para executar código na instância do n8n.
Casos de uso afetados
Você disponibiliza o Node GSuiteAdmin para workflows que outros membros podem criar ou modificar. A entrada maliciosa fica na própria configuração do Node.
Confira na sua instância
Identifique os workflows com o GSuiteAdmin e revise seus campos de configuração e as permissões de edição. Confira a versão em execução sem testar a alteração de protótipo no servidor. O comunicado menciona a desativação do XML, portanto não interprete essa orientação como comprovação de que o GSuiteAdmin ficou desativado.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.14.x
< 2.14.1
>= 2.14.1
2.13.x
< 2.13.3
>= 2.13.3
1.123.x
< 1.123.27
>= 1.123.27
O aviso descreve a falha no GSuiteAdmin, mas recomenda incluir n8n-nodes-base.xml em NODES_EXCLUDE. Essa divergência permanece no comunicado. Restrinja a edição a membros confiáveis e aplique uma versão corrigida.
Gravidade altaCVSS: 8,8/10Correção disponível
Apropriação de acesso pelo vínculo de email do LDAP
Com a autenticação LDAP ativa, o n8n vincula uma identidade do diretório a um acesso local existente quando os emails coincidem. Um membro capaz de alterar o próprio atributo de email no LDAP pode usar o endereço de outro membro, inclusive de um administrador, e assumir seu acesso ao entrar. O vínculo permanece mesmo depois de o email ser restaurado no diretório.
Casos de uso afetados
Você usa a autenticação LDAP e o diretório permite que membros modifiquem o próprio atributo de email. A coincidência com um email já cadastrado no n8n permite assumir o acesso associado a esse cadastro.
Confira na sua instância
Confirme se a autenticação LDAP está ativa e examine as permissões de alteração do atributo de email no diretório. Compare os vínculos LDAP dos cadastros do n8n com as identidades esperadas, incluindo os administradores. Investigue associações inesperadas mesmo quando o email atual do diretório pareça correto.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.4.x
< 2.4.0
>= 2.4.0
1.121.x
< 1.121.0
>= 1.121.0
Até aplicar a atualização, o comunicado orienta desativar a autenticação LDAP ou restringir a alteração de emails no diretório. Reverter apenas o email não desfaz uma associação já criada.
Gravidade altaCVSS: 8,7/10Correção disponível
Injeção SQL na ordenação do Data Table Get
O campo orderByColumn do Node Data Table Get permite alterar a consulta SQL por uma expressão manipulada. Um membro com permissão para criar ou editar workflows pode explorar a falha. No SQLite, a manipulação fica limitada a uma instrução por execução. No PostgreSQL, várias instruções podem executar na mesma chamada e alterar ou excluir registros.
Casos de uso afetados
Você usa o Data Table Get com uma expressão no campo orderByColumn, especialmente quando ela incorpora conteúdo recebido de fora do workflow.
A sua instalação usa PostgreSQL como banco do n8n, permitindo o efeito adicional de modificar ou excluir registros por múltiplas instruções SQL.
Confira na sua instância
Confira qual banco o n8n usa e abra os Nodes Data Table Get para examinar as expressões de orderByColumn. Rastreie qualquer valor recebido de um formulário ou webhook até esse campo. Verifique a versão em execução e, caso tenha desativado o Node, confira n8n-nodes-base.dataTable em NODES_EXCLUDE.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.123.x
< 1.123.26
>= 1.123.26
2.14.x
< 2.14.1
>= 2.14.1
2.13.x
< 2.13.3
>= 2.13.3
O SQLite limita o alcance descrito, mas também é afetado. Restringir a edição ou desativar o Data Table é uma mitigação temporária.
Gravidade altaCVSS: 8,5/10Correção disponível
Roubo de credenciais HTTP de outros membros na Community Edition
Na Community Edition, a resolução de credenciais pelo nome ignora a propriedade e o projeto. Outra falha dispensa os tipos HTTP genéricos da validação de permissões anterior à execução. Com essas duas falhas, um membro com o papel global:member pode localizar uma credencial alheia e executar um workflow que a descriptografa e usa, expondo seus segredos.
Casos de uso afetados
Você mantém uma instância Community Edition com vários membros e credenciais dos tipos httpBasicAuth, httpHeaderAuth ou httpQueryAuth pertencentes a outros membros.
Confira na sua instância
Confirme a edição da instância e identifique os membros com o papel global:member. Revise a propriedade das credenciais HTTP genéricas e os workflows que as referenciam. Confira a versão instalada e renove os segredos dessas credenciais quando houver possibilidade de exposição.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.123.x
< 1.123.27
>= 1.123.27
2.14.x
< 2.14.1
>= 2.14.1
2.13.x
< 2.13.3
>= 2.13.3
O aviso exclui a Enterprise Edition dessa cadeia de exploração. As credenciais de integrações nativas, como slackApi, openAiApi e postgres, também ficam fora desta falha. Restringir o acesso e renovar segredos não corrige as checagens de autorização.
Gravidade altaCVSS: 7,3/10Correção disponível
Leitura de segredos externos ao gravar uma credencial
A gravação de uma credencial permite resolver um segredo externo pelo nome sem aplicar a checagem externalSecret:list. Um membro autenticado que conheça ou consiga adivinhar o nome pode recuperar o segredo em texto aberto, mesmo sem a permissão de listagem ou os privilégios de administrador ou proprietário.
Casos de uso afetados
Você conectou um cofre de segredos externos ao n8n. Um membro sem autorização para listar esses segredos consegue referenciar um nome conhecido ou previsível durante a gravação de uma credencial.
Confira na sua instância
Confira quais cofres externos estão conectados e quais membros podem gravar credenciais sem a permissão externalSecret:list. Revise as referências a segredos nas credenciais e, quando disponíveis, os registros de acesso do cofre. Compare a versão instalada com as faixas corrigidas sem tentar recuperar segredos de terceiros.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.123.x
< 1.123.23
>= 1.123.23
2.6.x
< 2.6.4
>= 2.6.4
Restringir o acesso ao n8n a membros confiáveis ou desativar a integração com o cofre é uma mitigação temporária.
Gravidade altaCVSS: 7,1/10Correção disponível
Exposição de memória não inicializada no JavaScript Task Runner
O JavaScript Task Runner permite alocar buffers sem inicializar seu conteúdo. Um membro autorizado a criar ou editar workflows pode ler resíduos da memória do mesmo processo Node.js, incluindo tokens e segredos usados por tarefas anteriores. A falha exige Task Runners habilitados por N8N_RUNNERS_ENABLED=true.
Casos de uso afetados
Você mantém os Task Runners habilitados e permite que outros membros criem ou alterem workflows executados pelo runner JavaScript. Os buffers podem revelar conteúdo de tarefas ou requisições anteriores no mesmo processo.
Confira na sua instância
Confira o valor efetivo de N8N_RUNNERS_ENABLED e o modo definido por N8N_RUNNERS_MODE. Identifique o processo que executa o runner e confirme a versão do n8n associada à implantação. Revise as permissões de edição dos workflows sem tentar extrair memória para testar a falha.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.123.x
< 1.123.22
>= 1.123.22
2.10.x
< 2.10.1
>= 2.10.1
2.9.x
< 2.9.3
>= 2.9.3
No modo external, a exposição fica limitada à memória do processo externo do runner. Configurar N8N_RUNNERS_MODE=external reduz o alcance, mas não corrige a leitura de buffers não inicializados.
Gravidade moderadaCVSS: 6,3/10Correção disponível
Interceptação da conexão SSH do Source Control
Nas conexões SSH do Source Control, o comando usado nas operações do Git desativa explicitamente a conferência da chave do servidor remoto. Um atacante posicionado no caminho da conexão pode apresentar uma chave falsa, interceptar arquivos do repositório ou inserir conteúdo malicioso nos workflows.
Casos de uso afetados
Você habilitou o Source Control e configurou o acesso ao repositório por SSH. Esse uso é opcional e precisa estar ativo para que a falha descrita afete a conexão.
Confira na sua instância
Abra as configurações do Source Control e confirme se o recurso está habilitado e se o endereço do repositório usa SSH. Confira a versão do n8n em execução. Durante a atualização pendente, revise o caminho de rede até o servidor Git ou desative o recurso caso ele não seja necessário.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.5.x
< 2.5.0
>= 2.5.0
A falha exige que o atacante consiga interceptar a conexão de rede. Usar um caminho de rede controlado é uma mitigação temporária.
Gravidade moderadaCVSS: 6,3/10Correção disponível
Execução de HTML de arquivos binários na origem do n8n
O endpoint /rest/binary-data exibe diretamente no navegador um objeto binário de HTML sem nome de arquivo e sem os cabeçalhos Content-Disposition e Content-Security-Policy. Um membro capaz de editar workflows pode gerar esse objeto e enviar sua URL a um administrador. Ao abrir o endereço, a vítima executa JavaScript na origem do n8n com sua sessão autenticada, permitindo acesso a workflows e credenciais ou alteração de privilégios.
Casos de uso afetados
Você recebe o link de um resultado binário produzido por um workflow e o abre com uma sessão autenticada. O resultado contém HTML sem nome de arquivo, condição que permite a renderização descrita no aviso.
Confira na sua instância
Examine a configuração dos workflows que produzem conteúdo binário HTML e confira se eles atribuem um nome de arquivo. Para uma resposta de teste com HTML inofensivo, inspecione os cabeçalhos de /rest/binary-data sem renderizar conteúdo suspeito. Confira a versão do n8n, pois dar nome aos arquivos existentes não comprova a correção do endpoint.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.123.x
< 1.123.27
>= 1.123.27
2.14.x
< 2.14.1
>= 2.14.1
2.13.x
< 2.13.3
>= 2.13.3
A fonte classifica esta falha como moderada, com CVSS 4.0 de 6,3. Restringir a edição de workflows e o acesso às URLs binárias são medidas temporárias.
Gravidade moderadaCVSS: 6,3/10Correção disponível
Tokens OAuth gravados na credencial do atacante
Com N8N_SKIP_AUTH_ON_OAUTH_CALLBACK=true, o retorno da autorização OAuth deixa de conferir a propriedade do parâmetro state. Um atacante pode induzir a vítima a concluir a autorização para uma credencial controlada por ele. Os tokens da vítima ficam nessa credencial e podem ser usados pelo atacante em workflows com o acesso autorizado por ela.
Casos de uso afetados
Você habilitou explicitamente N8N_SKIP_AUTH_ON_OAUTH_CALLBACK=true. A exploração envolve uma vítima que conclui a autorização OAuth ligada à credencial do atacante.
Confira na sua instância
Confira o valor efetivo de N8N_SKIP_AUTH_ON_OAUTH_CALLBACK no processo do n8n, incluindo possíveis substituições na configuração de implantação. Revise a propriedade das credenciais OAuth e confirme a versão instalada. Durante a atualização pendente, remova a habilitação dessa opção quando ela não for estritamente necessária.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.8.x
< 2.8.0
>= 2.8.0
A configuração afetada não é a padrão. Restringir o acesso à instância ou evitar essa opção são mitigações temporárias.
Gravidade moderadaCVSS: 6,3/10Correção disponível
Manipulação de filtros de busca no Node LDAP
O escape dos filtros do Node LDAP permite que caracteres especiais recebidos de fora do workflow alterem a consulta ao diretório. Quando uma expressão usa essa entrada nos campos de busca, um atacante pode ampliar os registros retornados ou contornar a autenticação implementada pelo próprio workflow.
Casos de uso afetados
O seu workflow recebe uma entrada de formulário ou webhook e a incorpora por expressão aos campos de busca do Node LDAP. A falha depende dessa ligação entre a entrada externa e o filtro.
Confira na sua instância
Rastreie as expressões dos campos de busca do Node LDAP até a entrada do formulário ou webhook. Confira a validação aplicada a essa entrada e identifique workflows que usam a resposta da busca para autorizar acesso. Verifique a versão em execução e, caso tenha desativado o Node, confira n8n-nodes-base.ldap em NODES_EXCLUDE.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.123.x
< 1.123.27
>= 1.123.27
2.14.x
< 2.14.1
>= 2.14.1
2.13.x
< 2.13.3
>= 2.13.3
Evitar entradas externas sem validação, restringir a edição e desativar o Node são medidas temporárias. Este aviso trata da busca LDAP dentro de workflows, distinta da autenticação LDAP da instância.
Gravidade moderadaCVSS: 5,1/10Correção disponível
JavaScript na página pública do Chat Trigger pelo CSS personalizado
Uma configuração inadequada da biblioteca sanitize-html permite inserir JavaScript no campo Custom CSS do Node Chat Trigger. Um membro autorizado a editar workflows pode gravar esse conteúdo na página pública do chat, levando o navegador de cada visitante a executar o script.
Casos de uso afetados
O seu workflow publica um chat pelo Node Chat Trigger e permite que outros membros alterem o CSS personalizado. O visitante recebe o conteúdo adulterado ao acessar a URL do chat.
Confira na sua instância
Localize os workflows com o Chat Trigger e revise o conteúdo do campo Custom CSS no editor, sem abrir uma página suspeita. Confira as permissões de edição desses workflows e a versão instalada. Caso tenha desativado o Node, verifique a presença de @n8n/n8n-nodes-langchain.chatTrigger em NODES_EXCLUDE.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.123.x
< 1.123.27
>= 1.123.27
2.14.x
< 2.14.1
>= 2.14.1
2.13.x
< 2.13.3
>= 2.13.3
Restringir a edição ou desativar o Chat Trigger reduz a exposição durante a manutenção, mas não substitui a atualização.
Gravidade moderadaCVSS: 5,1/10Correção disponível
Script persistente no CSS do Form Trigger
A sanitização do CSS do Node Form Trigger permite gravar um script que executa no navegador dos visitantes do formulário publicado. Um membro autorizado a criar ou editar workflows pode usar a falha para alterar o destino das respostas ou apresentar conteúdo de phishing. A política de segurança de conteúdo existente impede o roubo direto dos cookies de sessão do n8n, mas permite a execução do script e a alteração do envio.
Casos de uso afetados
Você publica formulários com o Form Trigger e permite que outros membros alterem sua aparência pelo CSS. Cada visita ao formulário adulterado pode executar o conteúdo gravado.
Confira na sua instância
Revise o CSS configurado nos Nodes Form Trigger e os destinos de envio dos formulários publicados. Confira a versão instalada. Caso tenha aplicado a desativação temporária, verifique n8n-nodes-base.formTrigger em NODES_EXCLUDE e confirme que os formulários afetados não permanecem acessíveis.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.12.x
< 2.12.0
>= 2.12.0
2.11.x
< 2.11.2
>= 2.11.2
1.123.x
< 1.123.25
>= 1.123.25
A proteção dos cookies descrita no aviso não evita a manipulação do formulário. Restringir a edição ou desativar o Form Trigger é uma mitigação temporária.
Gravidade moderadaCVSS: 5,1/10Correção disponível
Script e redirecionamento externo no Node Form
O Node Form aceita uma descrição HTML sem sanitização suficiente e usa permissões excessivas no isolamento de iframes. Um membro autorizado a criar ou editar workflows pode aproveitar essas falhas para gravar scripts ou redirecionar visitantes do formulário para um endereço externo escolhido por ele, facilitando phishing.
Casos de uso afetados
Você publica um formulário com o Node Form e permite a edição da descrição HTML ou de conteúdo exibido em iframe. Os visitantes podem receber scripts ou um redirecionamento adulterado.
Confira na sua instância
Abra a configuração dos Nodes Form e examine a descrição HTML e os iframes sem visitar páginas suspeitas. Confira os destinos externos previstos e a versão instalada. Caso use a desativação temporária, verifique os dois identificadores n8n-nodes-base.form e n8n-nodes-base.formTrigger em NODES_EXCLUDE.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.12.x
< 2.12.0
>= 2.12.0
2.10.x
< 2.10.4
>= 2.10.4
1.123.x
< 1.123.24
>= 1.123.24
O comunicado recomenda restringir a edição e desativar os Nodes Form e Form Trigger durante a atualização pendente. Essas medidas não substituem a correção.
Gravidade moderadaCVSS: 4,8/10Correção disponível
Script no botão de autorização de uma credencial OAuth2
O campo Authorization URL de uma credencial OAuth2 aceita uma URL com JavaScript. Um atacante autenticado, com permissão para criar e compartilhar credenciais, pode preparar esse campo para executar um script no navegador da vítima quando ela usar o botão de autorização.
Casos de uso afetados
Você abre uma credencial OAuth2 compartilhada por outro membro e inicia a autorização pelo botão da interface. A exploração depende dessa interação com a credencial adulterada.
Confira na sua instância
Examine o campo Authorization URL das credenciais OAuth2 compartilhadas sem acionar o botão de autorização. Procure URLs com o esquema javascript: e confirme se o endereço pertence ao provedor esperado. Compare a versão em execução com a correção da sua linha.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
2.8.x
< 2.8.0
>= 2.8.0
2.6.x
< 2.6.4
>= 2.6.4
Até atualizar, restrinja a criação e o compartilhamento de credenciais a membros confiáveis. Essa restrição é temporária e não corrige a validação do campo.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
