Vai al contenuto
Mimir Lab
← Torna al blog

how it works

27 correzioni di sicurezza per n8n a ottobre: tre domande per chi gestisce il tuo

Pubblicato il · n8n, security, automation, smb

In breve: a ottobre 2026 n8n ha pubblicato 27 avvisi di sicurezza, 15 il 14 ottobre e 12 il 28 ottobre. Nessuno è classificato critico; 7 sono classificati alti. In sei su sette serve qualcuno che abbia già un account sul tuo n8n; il settimo, sul nodo Edit Image, scatta quando il nodo elabora immagini non fidate, per esempio arrivate da un webhook aperto. Quindi, oltre a “siamo aggiornati?”, chiedi “chi può entrare?”. Su n8n Cloud l’aggiornamento lo fa n8n. Se n8n lo ospiti tu, l’aggiornamento tocca a te.

Tre domande per chi gestisce il tuo n8n

  1. Che versione di n8n usiamo? Sul canale stabile deve essere 2.45.5 o successiva, sul canale beta 2.46.1 o successiva.
  2. Chi ha un account che può creare o modificare i workflow, e ognuno di loro ne ha ancora bisogno?
  3. Qualche nostro workflow usa ancora i vecchi nodi Function o Function Item, il nodo Edit Image, oppure un trigger Slack, Asana o Chat?

Una buona risposta contiene un numero di versione, una lista di nomi e un sì o un no sui nodi. “Siamo sul cloud, va tutto bene” risponde solo alla prima domanda.

Cosa è stato pubblicato

n8n è lo strumento che molte piccole aziende usano per collegare le proprie app: un modulo web che scrive in un foglio di calcolo, una fattura pagata che manda una mail. Gira sui server di n8n (n8n Cloud) oppure su un server gestito da te (self-hosting).

Dal 13 maggio 2026 n8n pubblica i suoi avvisi di sicurezza ogni due settimane, di mercoledì, e avvisa subito quando un problema critico non può aspettare. A ottobre i blocchi sono stati due:

  • 14 ottobre: 15 avvisi, 4 alti e 11 medi;
  • 28 ottobre: 12 avvisi, 3 alti e 9 medi.

Nessuno ha ancora un numero CVE. I punteggi usano CVSS 4.0; il più alto è 8,7 su 10.

Quell’8,7 riguarda tre vecchi nodi di codice: Function, Function Item e LangChain Code. Secondo n8n, un utente che può creare o modificare workflow poteva usarli per eseguire codice arbitrario nel processo principale di n8n. Un altro avviso, valutato 7,7, permette allo stesso tipo di utente di uscire dall’isolamento delle espressioni dei workflow ed eseguire codice sul server di n8n.

Perché conta chi entra, quanto la versione

Sei dei sette avvisi alti richiedono un utente con accesso a n8n che può creare o modificare workflow. Il settimo, sul nodo Edit Image, riguarda immagini non fidate: tra le misure provvisorie, n8n indica di spegnere i workflow in cui un nodo Webhook senza autenticazione alimenta Edit Image. Sei su sette riportano la stessa misura provvisoria: limitare l’accesso all’istanza a utenti di piena fiducia. L’avviso sui nodi di codice dice di limitare la creazione e la modifica dei workflow a utenti di piena fiducia.

Per una piccola azienda è una cosa concreta. L’account di chi se n’è andato, l’agenzia che due anni fa ha costruito i primi workflow, il login “admin” condiviso: su una versione non aggiornata, ognuno di loro arriva più lontano di quanto pensi.

Alcuni che non richiedono login

Alcuni dei 20 avvisi medi possono essere sfruttati dall’esterno, senza login:

  • Asana Trigger: un attaccante senza login che conosce l’indirizzo poteva sostituire il segreto e inviare finti eventi Asana che superano la verifica.
  • Slack Trigger: se la credenziale Slack non ha un signing secret, chi conosce l’indirizzo poteva farsi mandare il token Slack su un server a sua scelta.
  • Chat Trigger, modalità incorporata con n8n User Auth: alcune richieste passavano senza autenticazione.
  • Registrazione MCP OAuth: questi endpoint sono attivi di default e non richiedono login. Chiunque poteva far rimandare un visitatore dal tuo n8n a un altro sito; n8n precisa che nel reindirizzamento non c’erano token né dati di sessione.

Se un tuo workflow parte da uno di questi trigger, controlla prima quello.

Cloud o self-hosting: chi aggiorna

n8n Cloud. La documentazione dice che n8n aggiorna ogni istanza almeno ogni due settimane, così le correzioni di sicurezza arrivano a tutti. Il proprietario può scegliere nella Cloud console un ritmo più veloce, il canale (stabile o beta) e la finestra di manutenzione; la pagina Overview mostra la versione. È il limite che n8n indica tra un aggiornamento automatico e l’altro; la finestra di manutenzione che imposti decide quando ognuno viene applicato. Per avere ogni versione appena esce, scegli “Every new release”: in media una versione al giorno, ogni aggiornamento con uno o due minuti di fermo. Per i carichi di lavoro critici n8n consiglia il canale Stable.

Self-hosting. L’aggiornamento è compito tuo. Per il blocco del 28 ottobre serve la 2.45.5 o successiva sul canale stabile (il 30 ottobre la versione stabile più recente è la 2.45.7), oppure la 2.46.1 o successiva sul beta. La documentazione di n8n consiglia di aggiornare almeno una volta al mese. Con un blocco ogni due settimane, un aggiornamento mensile può lasciarti due blocchi indietro.

Due trappole:

  • La linea 1.x. Sei dei 12 avvisi del 28 ottobre non indicano nessuna correzione per la 1.x. Se sei ancora sulla 1.x, pianifica il passaggio alla 2.x.
  • n8n 3.0. La 3.0.1 contiene le correzioni, ma n8n definisce la 3.0 una versione “early access”, pubblicata come pre-release e non disponibile su npm. Una nuova versione principale porta i suoi cambiamenti; le correzioni di questo blocco sono già nel canale stabile 2.x, dalla 2.45.5.

Un dettaglio in più sui vecchi nodi di codice. Dopo la correzione, n8n rifiuta di salvare un workflow che ne aggiunge o ne modifica uno, ma i workflow già salvati con questi nodi continuano a girare come prima. L’aggiornamento non li toglie al posto tuo: sostituiscili con il nodo Code attuale.

Cosa ho controllato sul mio n8n

Le automazioni di Mimir Lab girano su n8n Cloud. Il 30 ottobre ho controllato i 21 workflow dell’istanza. Nessuno usa i vecchi nodi Function, Edit Image, Read/Write Files, i trigger Slack, Asana o Chat, MongoDB o NocoDB. L’istanza ha un solo utente: io. Per me è chiusa la strada dell’account non fidato, e i nodi citati negli avvisi non sono in uso.

Il punto più grande

Due blocchi al mese è il ritmo che n8n si è dato. Se tiene, il prossimo arriva mercoledì 11 novembre; la data è una mia estrapolazione, n8n non l’ha annunciata. In una piccola azienda nessuno deve leggere ogni avviso. Qualcuno però deve sapere in ogni momento tre cose: quale versione, chi ha accesso, quali nodi.

Se non sai chi si occupa del tuo n8n o come leggere le risposte, c’è il primo incontro gratuito, 30 minuti: mi racconti la situazione e ti dico da dove partire.

Questo articolo è disponibile anche in inglese.

Fonti

Verificate il 30 ottobre 2026.

https://github.com/n8n-io/n8n/security/advisories

Cosa vuol dire