La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) agregó el miércoles una falla de seguridad crítica que afecta a n8n a su catálogo de vulnerabilidades explotadas conocidas (KEV), basándose en evidencia de explotación activa.
La vulnerabilidad, rastreada como CVE-2025-68613 (Puntuación CVSS: 9,9), se refiere a un caso de inyección de expresión que conduce a la ejecución remota de código. n8n solucionó la deficiencia de seguridad en diciembre de 2025 en las versiones 1.120.4, 1.121.1 y 1.122.0. CVE-2025-68613 es la primera vulnerabilidad n8n que se incluye en el catálogo KEV.
«N8n contiene un control inadecuado de la vulnerabilidad de los recursos de código administrados dinámicamente en su sistema de evaluación de expresiones de flujo de trabajo que permite la ejecución remota de código», dijo CISA.
Según los mantenedores de la plataforma de automatización del flujo de trabajo, un atacante autenticado podría aprovechar la vulnerabilidad para ejecutar código arbitrario con los privilegios del proceso n8n.
La explotación exitosa de la falla podría resultar en un compromiso total de la instancia, lo que permitiría al atacante acceder a datos confidenciales, modificar flujos de trabajo o ejecutar operaciones a nivel de sistema.
Actualmente no hay detalles sobre cómo se está explotando la vulnerabilidad en la naturaleza. Los datos de la Fundación Shadowserver muestran que hay más de 24.700 instancias sin parches expuestas en línea, más de 12.300 de ellas ubicadas en América del Norte y 7.800 en Europa a principios de febrero de 2026.
La adición de CVE-2025-68613 se produce cuando Pillar Security reveló dos fallas críticas en n8n, una de las cuales, CVE-2026-27577 (puntaje CVSS: 9.4), se clasificó como «exploits adicionales» descubiertos en el sistema de evaluación de expresiones de flujo de trabajo después de CVE-2025-68613.
Se ordenó a las agencias del Poder Ejecutivo Civil Federal (FCEB) que parchearan sus instancias n8n antes del 25 de marzo de 2026, según lo dispuesto por una Directiva Operativa Vinculante (BOD 22-01) emitida en noviembre de 2021.