n8n corregge falle che rompono la fiducia tra utenti e workflow
In n8n non si rompe un singolo controllo, ma il modello di fiducia della piattaforma. Un editor con diritti su workflow condivisi può leggere, sovrascrivere o revocare credenziali e API token di altri utenti; un chiamante esterno può anche far partire workflow con payload falsi attraverso nodi di trigger esposti. Il problema non resta su una pagina o su un nodo: tocca il piano di automazione e i segreti che vi transitano.
NCSC segnala correzioni per più vulnerabilità, tra cui XSS, SQL injection, auth bypass, prototype pollution ed exposure of data, in versioni precedenti a 1.123.55 e nelle release 2.24.0, 2.25.7, 2.26.1 e 2.26.2. Le falle riguardano componenti diversi di n8n, compresi Respond to Webhook, Chat Trigger, SecurityScorecard, Dynamic Credentials e alcuni trigger pubblici; sono stati assegnati 10 CVE, tra cui CVE-2026-54301 e CVE-2026-54311.
La lettura pratica è che una patch parziale non basta: i confini tra editor, workflow e credenziali non sono tutti rotti nello stesso modo. Aggiornare alla versione corretta per la propria linea resta la sola difesa immediata.