Se ha descubierto un fallo de seguridad en n8n, la popular herramienta de automatización de flujos de trabajo. La vulnerabilidad permite que cualquier usuario con permisos de editor ejecute comandos del sistema operativo, actuando como si fuera el propio proceso de n8n. Esto abre la puerta a accesos no autorizados a datos sensibles y a ataques internos en empresas y organismos públicos que usan esta plataforma.
Detalles técnicos del fallo en la ejecución de comandos 🛡️
La vulnerabilidad reside en la gestión de permisos dentro del entorno de nodos de n8n. Un editor malintencionado puede inyectar comandos del sistema a través de campos de entrada no validados en ciertos nodos personalizados. Al ejecutarse con los mismos privilegios que el proceso principal, el atacante puede leer archivos de configuración, acceder a bases de datos o incluso desplegar malware. La solución inmediata es actualizar a la versión parcheada que restringe estas operaciones.
El editor que quería ser administrador (y casi lo logra) 😅
Porque claro, ¿quién necesita ser administrador del sistema cuando puedes ser solo un editor de flujos? Con este fallo, cualquier usuario con ganas de jugar a ser hacker podía, desde su cómoda interfaz gráfica, lanzar comandos como si estuviera en la sala de servidores. Menos mal que el error se descubrió antes de que algún becario convirtiera la automatización en un caos digital. Actualicen, que la seguridad no es broma.