O Node Git permite contornar a restrição de acesso a arquivos locais. No Code Node com Python, outra falha permite executar código fora do isolamento previsto, dentro do container do executor. As duas exigem acesso autenticado com permissão para criar ou editar workflows. Você pode conferir os recursos habilitados na sua instância e comparar a versão em execução com a correção da linha correspondente.
Aplicativon8n
Data do compilado
Vulnerabilidades2
Os dois avisos foram publicados em 27/05/2026. As faixas abaixo preservam os valores informados para cada linha, sem acrescentar limites inferiores. A indicação de correção disponível no n8n exige que você confira a atualização da sua instância.
Gravidade altaCVSS: 7,1/10Correção disponível
Execução de código fora do isolamento do executor Python
Um membro autenticado que pode criar ou modificar workflows com um Code Node configurado para Python consegue escapar do isolamento previsto para o código. A falha permite executar código arbitrário dentro do container do task runner, o serviço que executa essas tarefas. O aviso delimita a exposição às instâncias com o Python Task Runner habilitado.
Casos de uso afetados
Você mantém o Python Task Runner habilitado e permite que outros membros criem workflows com código Python. O código inserido no Code Node pode ultrapassar as restrições do ambiente de execução.
Os seus workflows já usam Python no Code Node e membros com permissão de edição podem alterar esse código. A execução arbitrária descrita pelo aviso ocorre no container do task runner.
Confira na sua instância
Verifique na configuração carregada e nos logs de inicialização se o Python Task Runner está habilitado. Abra os workflows com o Code Node configurado para Python e revise os membros autorizados a modificá-los. Confira a versão do n8n em execução contra a correção da sua linha. Caso você adote uma mitigação temporária, confirme que o executor Python foi desativado ou que NODES_EXCLUDE inclui n8n-nodes-base.code, considerando os workflows que utilizam esse Node.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.x
< 1.123.48
>= 1.123.48
2.22.x
< 2.22.4
>= 2.22.4
2.21.x
< 2.21.8
>= 2.21.8
CVE-2026-49444. O comunicado recomenda temporariamente restringir a criação e a edição de workflows a membros plenamente confiáveis, excluir n8n-nodes-base.code ou desativar o Python Task Runner. Essas medidas não substituem a atualização que corrige a falha.
Gravidade moderadaCVSS: 6,0/10Correção disponível
Acesso a repositórios locais fora da restrição de arquivos pelo Node Git
O Node Git aceita um caminho local como origem na ação Clone ou como destino na ação Push sem aplicar corretamente a restrição N8N_RESTRICT_FILE_ACCESS_TO. Um membro autenticado com permissão para criar ou editar workflows pode usar esse caminho para contornar o isolamento de arquivos. Na clonagem, o conteúdo de um repositório local acessível ao processo do n8n pode ser copiado para um diretório permitido e lido por ali, mesmo que a leitura direta do caminho original seja recusada.
Casos de uso afetados
Você limita os diretórios acessíveis aos workflows com N8N_RESTRICT_FILE_ACCESS_TO, mas mantém o Node Git disponível para membros que podem criar ou editar workflows. Um repositório fora dos diretórios permitidos continua acessível ao processo do n8n por suas permissões no sistema de arquivos.
A sua instalação disponibiliza repositórios locais ao processo do n8n. O conteúdo desses repositórios pode ser exposto pela clonagem para um diretório autorizado, mesmo que você tenha restringido a leitura direta dos arquivos.
Confira na sua instância
Confira a versão em execução na linha correspondente e abra os workflows com o Node Git para revisar a origem de Clone e o destino de Push. Compare os caminhos locais encontrados com os diretórios de N8N_RESTRICT_FILE_ACCESS_TO e confira quais repositórios o processo do n8n consegue ler. Revise também as permissões de criação e edição de workflows. Caso você desative o Node Git como medida temporária, confirme que NODES_EXCLUDE inclui n8n-nodes-base.git na configuração efetivamente carregada pela instância.
Versões afetadas e correções
Faixas declaradas no comunicado oficial, por linha de manutenção
Linha
Afetadas
Corrigidas
1.x
< 1.123.48
>= 1.123.48
2.22.x
< 2.22.4
>= 2.22.4
2.21.x
< 2.21.8
>= 2.21.8
CVE-2026-49465. Até atualizar, você pode restringir a criação e a edição de workflows a membros plenamente confiáveis ou desativar o Node Git. O comunicado apresenta essas medidas como temporárias e informa que elas não corrigem integralmente a falha.
Programador há mais de 20 anos, fundador da Powertic e da Promovaweb. Embaixador do n8n no Brasil e da Baserow, Chatwoot, Miro e Kestra. Membro do Product Team do Mautic.
Canais oficiais
Nossos Links
Encontre a Promovaweb no canal que combina com o seu próximo passo.
