Gravità alta Sviluppo e automazione

n8n: due falle gravi nella piattaforma di automazione

n8n · avviso ACN AL02/261102/CSIRT-ITA del 2 novembre 2026

// In breve

Sono state corrette due vulnerabilità di gravità alta in n8n, la piattaforma open source per automatizzare i flussi di lavoro. Un utente autenticato che può creare o modificare i flussi potrebbe iniettare codice nel processo principale; in certe configurazioni, anche chi non ha credenziali potrebbe leggere, modificare o cancellare flussi ed esecuzioni, nei limiti dei permessi della chiave API configurata.

// Chi deve preoccuparsi

Aziende che usano n8n nelle serie 3.0, 2.43, 2.42, 2.40, 2.39 e 1.123 prima delle versioni corrette.

// Cosa fare, in ordine

1

Controlla la versione: le versioni corrette sono 3.0.1, 2.43.3, 2.42.6, 2.40.1, 2.39.6 e 1.123.80.

2

Aggiorna n8n: seguendo i bollettini di sicurezza su GitHub indicati nelle fonti; se gira in Docker, aggiorna l'immagine e ricrea il container.

3

Rivedi utenti e chiavi API: chi può creare o modificare i flussi e quali permessi ha la chiave API: meno permessi, meno danni possibili.

// Prodotti e versioni interessate

  • n8n
  • · 3.0.x, versioni precedenti alla 3.0.1
  • · 2.43.x, versioni precedenti alla 2.43.3
  • · 2.42.x, versioni precedenti alla 2.42.6
  • · 2.40.x, versioni precedenti alla 2.40.1
  • · 2.39.x, versioni precedenti alla 2.39.6
  • · 1.123.x, versioni precedenti alla 1.123.80

Elenco dalla fonte ufficiale (avviso ACN AL02/261102/CSIRT-ITA). Le versioni corrette e le istruzioni sono nel bollettino del produttore.

// Vulnerabilità (CVE)

Il codice CVE serve a cercare la vulnerabilità nei bollettini e negli strumenti di scansione.

// Fonti ufficiali

Questa pagina è una spiegazione divulgativa dell'avviso, aggiornata al 5 novembre 2026. In caso di differenze fanno fede la fonte ufficiale e il bollettino del produttore. Se sospetti un attacco in corso, l'ACN raccoglie le segnalazioni di incidente.

// Tag

Avvisi di sicurezza Gestione delle vulnerabilità CSIRT ACN, Agenzia per la cybersicurezza nazionale Cybersecurity Sicurezza Automazione dei processi Open source Docker Patch Management

// Altri avvisi del bollettino

Gravità alta Sviluppo e automazione

Cursor: false estensioni Claude Code con backdoor SSH

Estensione Claude Code per Cursor · 4 novembre 2026
Gravità critica Già sfruttata Siti web, hosting ed e-commerce

Drupal Commerce: falla già sfruttata, aggiornare subito

Drupal Commerce Core · 5 novembre 2026
Gravità alta Firewall, router e Wi-Fi

Router ASUS: falle nel firmware ASUSWRT, aggiornare

Router ASUS (ASUSWRT) · 4 novembre 2026
Gravità alta Browser, PC e software

Mozilla Firefox: corretta una falla grave, versione 159.0.1

Mozilla Firefox · 4 novembre 2026

Tutti gli avvisi →