Vulnerabilità · 92 giorni fa

n8n corregge falle che rompono la fiducia tra utenti e workflow

In n8n non si rompe un singolo controllo, ma il modello di fiducia della piattaforma. Un editor con diritti su workflow condivisi può leggere, sovrascrivere o revocare credenziali e API token di altri utenti; un chiamante esterno può anche far partire workflow con payload falsi attraverso nodi di trigger esposti. Il problema non resta su una pagina o su un nodo: tocca il piano di automazione e i segreti che vi transitano.

NCSC segnala correzioni per più vulnerabilità, tra cui XSS, SQL injection, auth bypass, prototype pollution ed exposure of data, in versioni precedenti a 1.123.55 e nelle release 2.24.0, 2.25.7, 2.26.1 e 2.26.2. Le falle riguardano componenti diversi di n8n, compresi Respond to Webhook, Chat Trigger, SecurityScorecard, Dynamic Credentials e alcuni trigger pubblici; sono stati assegnati 10 CVE, tra cui CVE-2026-54301 e CVE-2026-54311.

La lettura pratica è che una patch parziale non basta: i confini tra editor, workflow e credenziali non sono tutti rotti nello stesso modo. Aggiornare alla versione corretta per la propria linea resta la sola difesa immediata.

CVE in questo aggiornamento

10 CVE

4 critiche · 3 alte · 3 medie · 0 basse

0 in CISA KEV · 0 con EPSS sopra 1%

Severità più alta: CVE-2026-54309 · 10.0 CRITICAL

EPSS più alto: CVE-2026-54309 · 0,55%

Cronologia

Fonti

1 fonte che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-06-29

Editions

Storie correlate