Il punto non è la CVE. Il varco reale è il token finito in un commit pubblico, che continua a valere come chiave d’accesso su un’istanza viva e apre workflow e segreti a valle. In questo schema, correggere il software non basta se le credenziali già pubblicate restano valide.
GitGuardian ha scandito i commit pubblici di GitHub e ha trovato 4.576 token n8n unici collegati a 1.255 hostname. Su 896 istanze raggiungibili al momento del test, 321 accettavano almeno un token leakato: accesso autenticato su circa il 36% delle istanze verificabili. Il report mostra anche che un token ben privilegiato può esporre definizioni dei workflow, dati di esecuzione e, in certe configurazioni, i valori stessi delle credenziali usate da n8n.
Per chi usa n8n self-hosted o n8n.cloud per tenere insieme cloud, database e SaaS, il rischio non passa da un exploit: passa da segreti già usciti dal perimetro e ancora vivi in produzione.