n8n CVE-2026-27577: espressioni di workflow che evadono la sandbox ed eseguono comandi sull'host

Le piattaforme di automazione dei workflow tornano nel mirino: la CVE-2026-27577 in n8n, strumento open source di automazione molto adottato negli stack di integrazione e negli agenti di IA, è un sandbox escape che si trasforma in esecuzione di comandi di sistema sull'host, con CVSS 9.4. La causa sta nel PrototypeSanitizer, il meccanismo che dovrebbe impedire alle espressioni inserite nei parametri di un workflow di raggiungere gli oggetti interni del processo: usando tecniche di spread operator e variable shadowing un utente autenticato con il permesso di creare o modificare workflow può forzare quel confine ed eseguire comandi arbitrari sul server che ospita n8n. La vulnerabilità fa parte di un gruppo di sette falle, sei classificate critiche, corrette dagli sviluppatori nelle versioni 1.123.22, 2.9.3 e 2.10.1.

La vulnerabilità è nota da febbraio 2026; a portarla in questo bollettino è la sua maturazione. ACN ha aggiornato l'alert AL02/260226 il 29 luglio registrando la comparsa di un proof of concept pubblico per la CVE-2026-27577, il solo delle sette a essere passato a questo stadio. Il prerequisito di autenticazione limita il bacino, ma va letto per come funzionano davvero queste installazioni: n8n viene spesso condiviso tra team, con utenze di editing distribuite con generosità, e chi ottiene una qualsiasi credenziale con permessi di modifica dei workflow ottiene di fatto l'esecuzione di codice sul server. Non risulta al momento sfruttamento in rete.

È il quarto caso in poche settimane su questa famiglia di prodotti: Langflow due volte, Flowise, ServiceNow AI Platform, e ora n8n. Il pattern è ricorrente e vale più della singola CVE: piattaforme low-code e di orchestrazione IA adottate rapidamente, spesso installate per sperimentazione e poi rimaste in produzione, che eseguono per progetto codice fornito dall'utente e trattano la sandbox come barriera di sicurezza quando è nata come barriera di comodità. A doversene preoccupare è chi ospita n8n self-hosted con più utenti e credenziali applicative memorizzate nei nodi: la compromissione dell'host espone anche tutti i segreti dei sistemi collegati, che nelle installazioni di automazione sono in genere numerosi e di alto valore.

• Versioni affette: n8n in tutte le versioni precedenti alla 1.123.22, versioni 2.x precedenti alla 2.9.3, versioni 2.10.x precedenti alla 2.10.1.
• Azione raccomandata: aggiornare n8n a 1.123.22, 2.9.3 o 2.10.1 (o versioni successive); rivedere le utenze che dispongono del permesso di creare o modificare workflow riducendole al minimo necessario; isolare in rete l'host n8n e ruotare le credenziali salvate nei nodi in caso di sospetta compromissione.
   

Fonti: ACN, GitHub Advisory, CyCognito, The Hacker News