CVE-2026-85169

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 1.123.73 n8n versões anteriores a 2.35.4 n8n versões anteriores a 2.36.2

Description Existe um escape de sandbox de expressão no manipulador $fromAI. O manipulador $fromAI resolvia nomes de espaços reservados fornecidos pelo chamador sem exigir que fossem propriedades próprias e admitia chaves reservadas. Contra um valor de entrada primitivo, ele retornava uma referência ao protótipo do host ativo. Um invasor com privilégios de construção de fluxo de trabalho pode percorrer a cadeia de protótipos até o construtor Function para compilar e executar código arbitrário no processo principal do n8n, levando à execução remota de código.

Recommendations Atualize o n8n para a versão 1.123.73 ou posterior. Atualize o n8n para a versão 2.35.4 ou posterior. Atualize o n8n para a versão 2.36.2 ou posterior.