CVE-2026-77077

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 1.123.69 n8n versões anteriores a 2.33.4 n8n versões anteriores a 2.34.1

Description Existe um escape de sandbox de VM do executor de tarefas JavaScript onde a rotina de congelamento de protótipo não abrange construtores de módulos internos, como EventEmitter. Isso permite que um usuário autenticado com acesso ao nó Code utilize a poluição de protótipo (prototype pollution)—uma técnica de modificação do protótipo base de um objeto para afetar todas as instâncias—para executar comandos arbitrários dentro do contêiner do executor. Como o protótipo poluído é um objeto de todo o processo, a corrupção persiste nas execuções do nó Code de outros locatários no mesmo executor compartilhado. Em instâncias v1.x sem executores de tarefas habilitados, o JavaScript do nó Code é executado diretamente no processo principal do n8n, o que pode aumentar o impacto.

Recommendations Atualize o n8n para a versão 1.123.69 ou posterior. Atualize o n8n para a versão 2.33.4 ou posterior. Atualize o n8n para a versão 2.34.1 ou posterior.