n8n en resumen
n8n publicó CVE-2026-21858, que permite a atacantes sin autenticación leer archivos del servidor mediante ciertos flujos con formularios, y CVE-2026-21877, una ejecución de código con autenticación. Las correcciones están en 1.121.0 y 1.121.3.
n8n: estado
- Afectado
- n8n desde 1.65.0 hasta antes de 1.121.0 (CVE-2026-21858)
- n8n desde 0.123.0 hasta antes de 1.121.3, autoalojado y n8n Cloud (CVE-2026-21877)
- Identificadores CVE
- Estado al
- Detectada por
- Dor Attias, Cyera Research Labs (CVE-2026-21858); reportado por theolelasseux (CVE-2026-21877)
Qué cambió con n8n
El 7 de enero de 2026, n8n publicó GHSA-v4pr-fm98-w9pg para CVE-2026-21858, calificada como crítica con un puntaje CVSS 3.1 de 10.0. En n8n desde 1.65.0 hasta antes de 1.121.0, ciertos flujos basados en formularios permiten que un atacante remoto sin credenciales acceda a archivos del servidor. Cyera Research Labs, que bautizó la falla como Ni8mare, explica cómo los secretos filtrados pueden encadenarse para obtener acceso de administrador y ejecutar comandos.
Un día antes, n8n también publicó GHSA-v364-rw7m-3263 para CVE-2026-21877 (CVSS 9.9). Un usuario autenticado podía hacer que se ejecutara código no confiable en el servicio de n8n mediante la escritura arbitraria de archivos, lo que afecta instancias autoalojadas y de n8n Cloud desde 0.123.0 hasta antes de 1.121.3. Si todavía no puedes actualizar, n8n sugiere desactivar el nodo Git y limitar a los usuarios no confiables.
n8n indica que no hay una solución alternativa oficial para CVE-2026-21858 aparte de actualizar; como medida temporal, restringe o desactiva los endpoints públicos de webhooks y formularios. Actualizar a 1.121.3 o una versión posterior cubre ambos avisos.
Cómo corregirlo: n8n
1. Actualizar
Actualiza n8n a 1.121.3 o posterior, que incluye la corrección de 1.121.0 para CVE-2026-21858 y la de 1.121.3 para CVE-2026-21877.
github.com (se abre en una pestaña nueva)2. Solución temporal
Mientras actualizas, restringe o desactiva los endpoints de webhooks y formularios accesibles públicamente.
github.com (se abre en una pestaña nueva)3. Configuración
Si todavía no puedes actualizar, desactiva el nodo Git y limita el acceso de usuarios no confiables.
github.com (se abre en una pestaña nueva)
Avisos de seguridad
Dónde comparar n8n
Clasificaciones independientes y recursos oficiales para comparar este modelo por tu cuenta. Las posiciones cambian con frecuencia; cada sitio muestra sus datos actuales.
Por qué n8n importa para los negocios
Muchas empresas usan n8n autoalojado para conectar agentes de IA con CRM, correo y bases de datos, así que una sola instancia suele guardar claves de API y tokens OAuth de muchos sistemas. Basta un formulario o webhook público para quedar expuesto a CVE-2026-21858, por lo que es urgente actualizar y revisar qué servidores de automatización están en internet.
Fuentes de esta noticia
- Unauthenticated File Access via Improper Webhook Request Handling (GHSA-v4pr-fm98-w9pg) (se abre en una pestaña nueva)Oficial
n8n on GitHub · github.com
- RCE via Arbitrary File Write (GHSA-v364-rw7m-3263) (se abre en una pestaña nueva)Oficial
n8n on GitHub · github.com
- CVE-2026-21858 Detail (se abre en una pestaña nueva)Oficial
NIST National Vulnerability Database · nvd.nist.gov
- Ni8mare - Unauthenticated Remote Code Execution in n8n (CVE-2026-21858) (se abre en una pestaña nueva)Prensa
Cyera Research Labs · cyera.com
Última verificación: . IA Compa resume anuncios públicos para lectores de negocios. No tenemos relación con las empresas mencionadas. Confirma siempre los detalles, precios y disponibilidad con la fuente oficial.
- #security
- #cve
- #n8n
- #workflow-automation
- #self-hosting