Alerta Crítico: Falha de RCE no n8n Permite Ataques Abrangentes

A vulnerabilidade crítica CVE-2026-33696 no n8n se baseia em um tipo de falha conhecido como Prototype Pollution. Essencialmente, atacantes autenticados podem manipular o campo 'schemaName' do nó GSuiteAdmin para injetar uma propriedade maliciosa diretamente no Object.prototype do ambiente JavaScript. Isso significa que todo e qualquer objeto criado depois disso herdará essa propriedade poluída, abrindo portas para a execução de código.

A cadeia de exploração se completa quando essa propriedade poluída é usada para injetar um comando em operações do Git, via o nó Git do n8n. O campo GIT_SSH_COMMAND, que controla como o Git executa comandos SSH, pode ser sobrescrito para rodar código arbitrário no servidor. Além da RCE, a poluição do protótipo sozinha já causa um ataque de negação de serviço (DoS), derrubando a instância n8n ao causar falhas no TypeORM, que é o ORM usado para acessar o banco de dados.

Esta nova falha de RCE no n8n, CVE-2026-33696, marca a segunda vulnerabilidade crítica na plataforma que o CEVIU News acompanha em menos de um ano. Em 10 de fevereiro de 2026, noticiamos a análise da CVE-2026-25049, uma falha de type confusion no avaliador de expressões do n8n, que também permitia execução remota de código e contornava patches de segurança anteriores.

A reincidência de vulnerabilidades de RCE, mesmo que por vetores diferentes (agora Prototype Pollution vs. type confusion), acende um alerta. Isso mostra um desafio persistente na segurança da plataforma n8n, que lida com automação de processos críticos. A correção para esta nova falha é relativamente simples, exigindo validação de nomes de esquemas para evitar `__proto__`, `constructor` e `prototype`, algo que deveria ter sido adotado desde o início.

Para empresas que confiam no n8n para automação de fluxos de trabalho, uma falha de RCE como a CVE-2026-33696 é devastadora. Atacantes com acesso de editor podem não só comprometer a infraestrutura, executando código arbitrário, mas também roubar todas as credenciais armazenadas na plataforma, que incluem chaves de API e dados sensíveis. Isso se alinha com o que vimos recentemente em outras plataformas corporativas, como os alertas de RCE em ServiceNow, WordPress e SharePoint, que também foram pauta do CEVIU News em julho e agosto de 2026.

A gravidade da falha, afetando instalações self-hosted, em worker e na nuvem, exige ação imediata. A inação expõe dados sensíveis, credenciais e a própria integridade operacional a riscos significativos. A urgência da atualização ressalta a importância de um processo robusto de gestão de vulnerabilidades, mesmo em ferramentas de automação que são frequentemente vistas como infraestrutura interna.