CVE-2026-33696

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 2.14.1 n8n versões anteriores a 2.13.3 n8n versões anteriores a 1.123.27

Description Um usuário autenticado com permissões para criar ou modificar fluxos de trabalho pode explorar um problema de poluição de protótipo nos nós XML e GSuiteAdmin. Ao fornecer parâmetros manipulados durante a configuração do nó, um invasor pode gravar valores controlados em Object.prototype. Essa poluição de protótipo pode ser utilizada para alcançar a execução remota de código na instância do n8n. Análises técnicas indicam que, após a poluição do Object.prototype, a função buildWhere() no TypeORM pode capturar essas propriedades extras durante a iteração, resultando em um EntityPropertyNotFoundError durante as consultas ao banco de dados.

Recommendations Atualize para a versão 2.14.1 ou posterior. Atualize para a versão 2.13.3 ou posterior. Atualize para a versão 1.123.27 ou posterior. Limite as permissões de criação e edição de fluxos de trabalho apenas a usuários totalmente confiáveis. Desative o nó XML adicionando n8n-nodes-base.xml à variável de ambiente NODES EXCLUDE.