Falha crítica no n8n permite que invasores executem código no servidor

Uma falha crítica de segurança foi identificada no n8n, plataforma open source de automação de fluxos de trabalho. A ferramenta integra serviços, plataformas e APIs de forma visual, com pouca necessidade de programação em código.

Catalogado como CVE-2025-68668 e avaliado com severidade 9,9/10, o problema afeta um componente específico do n8n e pode ser explorado por usuários que tenham permissão para criar ou editar workflows. Essa vulnerabilidade permite que invasores executem código arbitrário diretamente no sistema que hospeda a ferramenta.

Embora não envolva acesso totalmente anônimo, o TechRadar lembra que, em ambientes colaborativos ou corporativos, esse tipo de permissão é relativamente comum.

É justamente pela flexibilidade e facilidade do n8n que o impacto potencial se amplia, já que os workflows podem rodar códigos personalizados dentro da plataforma.

Segundo o aviso de segurança publicado no GitHub, a falha foi encontrada no Python Code Node, que utiliza o Pyodide — um runtime de Python projetado para rodar em navegadores e outros ambientes JavaScript. O problema está no bypass do sandbox, mecanismo que deveria impedir que o código executado ultrapasse limites de segurança.

Na prática, um invasor com acesso válido para editar workflows poderia inserir código Python elaborado para escapar do ambiente isolado do Pyodide e executar comandos no sistema operacional hospedeiro. Esses comandos seriam rodados com os mesmos privilégios do processo do n8n.

Fonte: Tecnoblog