CVE-2026-44789
n8n: Poluição de Protótipo na Paginação do Nó de Requisição HTTP para RCE
- Publicado
- 23 de jun. de 2026
- Atualizado
- 24 de jun. de 2026
- Atribuindo CNA
- GitHub_M
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBaixo · próximos 30 dias
- Percentil
- 43,5%
- Data do modelo
- 17 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
n8n é uma plataforma de automação de fluxos de trabalho de código aberto. Antes das versões 1.123.43, 2.22.1 e 2.20.7, um usuário autenticado com permissão para criar ou modificar fluxos de trabalho poderia alcançar poluição de protótipo global via um parâmetro de paginação não validado no nó HTTP Request. Combinado com outras técnicas, isso poderia levar a RCE na instância. Esta vulnerabilidade foi corrigida nas versões 1.123.43, 2.22.1 e 2.20.7.
Fontes
CVE-2026-44789 — n8n <1.123.43 HTTP Request pagination prototype pollution para RCE (NODE_OPTIONS runner-spawn gadget). Lab + PoC automatizado, verificado e2e.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.