CVE-2026-25049: Sandbox delle espressioni con conseguente esecuzione di codice remoto in n8n

Nel febbraio 2026 è stata resa pubblica una grave vulnerabilità di tipo "sandbox escape" in n8n, la piattaforma open source per l'automazione dei flussi di lavoro ampiamente diffusa. Identificata con il codice CVE-2026-25049, questa vulnerabilità consente agli utenti autenticati di aggirare la sandbox di valutazione delle espressioni ed eseguire comandi di sistema arbitrari sul server host, ottenendo l'esecuzione completa di codice remoto con un punteggio CVSS v3.1 pari a 9,9.

Nell'ambito del programma di borse di studioOPSWAT , i nostri borsisti hanno condotto un'analisi tecnica approfondita della vulnerabilità CVE-2026-25049, esaminandone la causa principale, il meccanismo di sfruttamento e l'impatto sulle organizzazioni.

Questo blog offre una guida dettagliata alla vulnerabilità: dall'architettura di elaborazione delle espressioni di n8n e dai suoi controlli di sicurezza a più livelli fino alla tecnica specifica che riesce a eludere contemporaneamente tutti e cinque i livelli di difesa.

CVE-2026-25049 è una vulnerabilità critica di tipo "sandbox escape" in n8n, classificata sotto il codice CWE-913: "Controllo improprio delle risorse del codice gestito dinamicamente". La vulnerabilità interessa tutte le versioni di n8n precedenti alla 1.123.17, nonché le versioni dalla 2.0.0 alla 2.5.1, ed è stata corretta nelle versioni 1.123.17 e 2.5.2. Consente agli utenti autenticati con permessi di creazione di flussi di lavoro di creare espressioni JavaScript dannose che aggirano la sandbox delle espressioni della piattaforma, ottenendo in ultima analisi l'esecuzione di comandi arbitrari sul server host.

n8n è una piattaforma open source per l'automazione dei flussi di lavoro che consente alle organizzazioni di collegare sistemi, automatizzare processi e creare integrazioni tra centinaia di servizi. Grazie alla sua ampia diffusione e alle oltre 1.300 integrazioni disponibili, n8n è diventato uno degli strumenti più popolari nel suo settore, utilizzato dai team di sviluppo e dalle aziende per automatizzare ogni aspetto, dagli strumenti interni alle pipeline di dati fondamentali per l'attività aziendale.

Un albero di sintassi astratta (AST) è una rappresentazione gerarchica del codice sorgente generata da un analizzatore sintattico. Anziché considerare il codice come una stringa piatta, un AST lo scompone in nodi strutturati che rappresentano i suoi elementi sintattici: dichiarazioni di variabili, espressioni di funzione, espressioni di membro, identificatori e letterali.

Comprendere i tipi di nodi AST è fondamentale per questa analisi, poiché i controlli di sicurezza di n8n operano a livello di AST. I sanitizer esaminano tipi di nodi specifici per individuare e bloccare modelli pericolosi. La vulnerabilità sfrutta il fatto che la stessa operazione semantica – l'accesso alla proprietà di un oggetto – può generare tipi di nodi AST completamente diversi a seconda della sintassi JavaScript utilizzata.

L'architettura di n8n è strutturata in cinque livelli: Frontend, CLI, Core, Workflow e Nodes. Il livello Workflow gestisce la valutazione delle espressioni, che è la componente interessata da questa vulnerabilità.

n8n consente agli utenti di incorporare espressioni JavaScript nei parametri dei nodi del flusso di lavoro per manipolare dinamicamente i dati. Queste espressioni vengono valutate lato server utilizzando una libreria chiamata Tournament, che analizza le espressioni in un AST prima dell'esecuzione. Gli hook di sanificazione vengono inseriti direttamente nel processo di creazione di Tournament, eseguendo controlli durante la costruzione dell'AST per intercettare modelli pericolosi prima che il codice venga eseguito.

Poiché queste espressioni vengono eseguite all'interno dello stesso processo Node.js del server n8n, la piattaforma implementa cinque livelli di sicurezza distinti, progettati per impedire che codice non attendibile riesca a sfuggire alla sandbox.

Livello 1 - Sovrascrittura del contesto globale

Prima che qualsiasi espressione venga valutata, n8n crea un contesto di esecuzione limitato sovrascrivendo oggetti e funzioni globali potenzialmente pericolosi. Proprietà quali document, window, globalThis, eval, setTimeout, setInterval e Function vengono sostituite con oggetti vuoti, impedendo così l'accesso diretto a tali funzionalità.

Questo approccio presenta un limite intrinseco: se un malintenzionato riesce a sfuggire al contesto limitato e a raggiungere il vero oggetto di processo globale, le proprietà sovrascritte perdono ogni rilevanza.

Livello 2 - Convalida tramite espressioni regolari

Prima che l'espressione raggiunga il valutatore, n8n esegue un controllo tramite espressione regolare sulla stringa dell'espressione grezza per bloccare l'accesso alla proprietà del costruttore, un vettore comune per ottenere il costruttore Function e consentire l'esecuzione del codice.

L'espressione regolare /\.\s*constructor/gm rileva l'accesso tramite notazione con il punto a .constructor. Tuttavia, questo controllo presenta dei limiti intrinseci, poiché JavaScript offre diversi modi sintattici per accedere alla stessa proprietà, non tutti basati sulla notazione con il punto.

Livello 3 - Sanitizer di runtime AST – PrototypeSanitizer

La difesa più sofisticata entra in azione durante la costruzione dell'AST. Il hook PrototypeSanitizer esamina l'AST e controlla i nodi MemberExpression per verificare se la proprietà a cui si accede figura in un elenco di proprietà degli oggetti non sicure, tra cui constructor, __proto__, prototype, mainModule e binding.

Il sanitizer gestisce tre casi: la notazione con il punto (obj.prop), in cui verifica il nome dell'identificatore; la notazione statica tra parentesi quadre (obj['prop']), in cui verifica il valore letterale della stringa; e le espressioni dinamiche, che vengono racchiuse in una funzione di sanitizer eseguita in fase di runtime. Come mostrato nella Figura 10, vengono ispezionati solo i nodi MemberExpression: i modelli di destrutturazione non vengono analizzati.

Livello 4 - Funzione di sanificazione del runtime AST ThisSanitizer

Aggiunto come patch diretta per la vulnerabilità CVE-2025-68613, FunctionThisSanitizer intercetta le espressioni di funzione a esecuzione immediata (IIFE) e le riscrive in modo da associare `this` a un oggetto vuoto. Ciò impedisce l'utilizzo della tecnica impiegata nell'exploit originale, in cui (function(){ return this })() causava la divulgazione dell'oggetto di processo globale attraverso il riferimento `this` non associato.

L'exploit sfrutta entrambe le vulnerabilità per aggirare contemporaneamente tutti i livelli di sicurezza. I nostri colleghi hanno individuato il seguente percorso di exploit:

Passaggio 1 - Inserimento della funzione freccia. Il payload inizia con una funzione freccia racchiusa in un'espressione di funzione a esecuzione immediata (IIFE):

={{(() => {
// Funzione freccia - aggira FunctionThisSanitizer
...
})()}}

La funzione `FunctionThisSanitizer` verifica se l'oggetto chiamato è un'espressione di funzione (FunctionExpression); poiché si tratta di un'espressione di funzione freccia (ArrowFunctionExpression), il sanitizer termina l'esecuzione anticipatamente senza riscrivere la chiamata. La funzione freccia viene eseguita con pieno accesso al contesto globale reale.

Passaggio 2 - Bypass della destrutturazione. All'interno della funzione freccia, la destrutturazione estrae il costruttore Function da un'istanza della funzione freccia:

const { constructor } = () => {};

Poiché si tratta di un'assegnazione di destrutturazione, l'AST contiene un nodo ObjectPattern anziché un MemberExpression. Il controllo tramite espressione regolare non rileva alcun pattern .constructor e il PrototypeSanitizer non verifica mai il nome della proprietà. L'autore dell'attacco dispone ora di un riferimento al costruttore Function.

Fase 3 - Esecuzione dinamica di codice. Una volta ottenuto il costruttore della funzione, l'autore dell'attacco crea ed esegue codice arbitrario:

return constructor(
'return process.mainModule.require("child_process").execSync("whoami").toString()',
);)

La funzione generata dinamicamente viene eseguita al di fuori del contesto della sandbox con pieno accesso all'oggetto del processo Node.js, consentendo l'esecuzione di comandi di sistema arbitrari sull'host.

Per dimostrare l'impatto concreto di questa vulnerabilità, i nostri ricercatori hanno riprodotto l'exploit in un ambiente di laboratorio controllato. Lo scenario di attacco prevede l'hosting di un'istanza vulnerabile di n8n e l'importazione di un flusso di lavoro contenente il payload dannoso all'interno di un parametro del nodo, prendendo di mira in particolare il nodo "Modifica campi", che consente la valutazione delle espressioni.

Una volta avviato il flusso di lavoro, il payload aggira tutti e cinque i livelli di sanificazione ed esegue una reverse shell sul server host, restituendo all'autore dell'attacco la piena capacità di eseguire comandi.

Grazie a OPSWAT , le organizzazioni possono identificare rapidamente i componenti n8n vulnerabili presenti nella propria infrastruttura e intervenire prima che si verifichino attacchi. OPSWAT , una tecnologia fondamentale della piattaforma MetaDefender®, fornisce un inventario completo di tutti i componenti software, le librerie e le dipendenze in uso nell'ambiente di un'organizzazione.