Fomos informados em novembro sobre uma vulnerabilidade crítica de segurança que afeta a versão 1.65-1.120.4 do n8n. Isso foi corrigido em n8n versão 1.121.0 e lançada para toda a nossa base de clientes em 18 de novembro de 2025. Estamos entrando em contato para garantir que os usuários auto-hospedados tenham as informações necessárias para proteger suas instâncias.
O que aconteceu: a vulnerabilidade relatada afeta determinados fluxos de trabalho baseados em formulários. Um fluxo de trabalho vulnerável poderia conceder acesso a um invasor remoto não autenticado. Isso poderia resultar na exposição de informações armazenadas no sistema e permitir comprometimento adicional, dependendo da configuração da implantação e do uso do fluxo de trabalho.
Uma instância n8n é potencialmente vulnerável se tiver um fluxo de trabalho ativo com um gatilho de envio de formulário e um nó de finalização de formulário retornando um arquivo binário. Devido à validação de entrada inadequada, tal fluxo de trabalho poderia, sob condições limitadas específicas, teoricamente ser explorado para obter acesso de leitura ao sistema de arquivos subjacente. O fluxo de trabalho vulnerável pode ser explorado por um invasor que possa acessar o formulário, incluindo chamadores não autenticados.
Impacto potencial
Quem é afetado:
- Instâncias auto-hospedadas executando versões 1.65-1.120.4
- Se você estiver executando qualquer versão 2.x (incluindo qualquer RC/beta), você já possui esta correção de segurança
- As instâncias de nuvem já foram atualizadas automaticamente e são seguras
Se esta vulnerabilidade fosse explorada, poderia levar a:
- Em determinadas configurações, escalonamento de privilégios na instância n8n
- Acesso não autorizado a informações confidenciais armazenadas na sua instância n8n
Ação necessária
Se você estiver executando a versão 1.65-1.120.4: atualize sua instância n8n para a versão 1.121.0 (ou posterior) o mais rápido possível. Esta versão contém as correções de segurança necessárias.
Se você estiver executando qualquer versão 2.x (incluindo qualquer RC/beta): Nenhuma ação é necessária – você já tem essa correção de segurança.
Perguntas frequentes
Minha instância n8n foi afetada?
Sua instância será afetada se você estiver executando versão 1.65-1.120.4 com um fluxo de trabalho ativo que possui ambos:
- Um gatilho de envio de formulário E
- Um nó Form Ending retornando um arquivo binário
Se você estiver correndo versão 1.121.0 ou posteriorou qualquer versão 2.xvocê não será afetado.
Se você é um Cliente na nuvematualizaremos e protegeremos sua instância nas próximas 12 horas. Você também pode inicie a atualização no painel do Cloud.
Você pode executar este modelo de fluxo de trabalho para verificar sua instância em busca de fluxos de trabalho potencialmente vulneráveis.
Como posso acompanhar os lançamentos n8n?
Acesse nossas notas de lançamento aqui – cada um também possui links para os commits do GitHub para obter informações detalhadas.
Como posso acompanhar os CVEs n8n?
Divulgamos nossos CVEs no GitHub.
Como o n8n está abordando a segurança?
Assumimos uma posição activa em matéria de segurança através dos nossos Programa de divulgação de vulnerabilidades. Priorizamos responder a denúncias e informações que encontramos e estamos comprometidos com a divulgação transparente.
Já que este problema foi corrigido em 18 de novembro, por que não foi comunicado até agora?
Queríamos garantir que os patches fossem lançados e oferecer aos nossos clientes a oportunidade de atualizar quando quiserem. Também queríamos reduzir o risco de ataques generalizados que provavelmente teriam ocorrido se não tivéssemos uma mitigação em vigor. A divulgação responsável é algo que levamos a sério e isso nos permitiu ser mais proativos do que reativos, pois também respondemos a vários outros relatórios de bugs que recebemos desde o início do nosso Programa de Divulgação de Vulnerabilidades
Agradecemos sua atenção imediata a esta atualização de segurança. A n8n mantém padrões de segurança proativos por meio de monitoramento contínuo, testes de penetração regulares e um programa de divulgação responsável. Esta divulgação participa do nosso compromisso com a transparência.
