PT-2026-28074 · N8N · N8N
CVSS v3.1
9.9
حرجة
| المتجه | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 2.14.1
إصدارات n8n الأقدم من 2.13.3
إصدارات n8n الأقدم من 1.123.26
الوصف
n8n هي منصة لأتمتة سير العمل. يمكن للمستخدم الذي تمت مصادقته ولديه أذونات لإنشاء أو تعديل سير العمل الاستفادة من وضع «Combine by SQL» داخل عقدة Merge لقراءة الملفات المحلية على مضيف n8n، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. كانت بيئة الاختبار AlaSQL تفتقر إلى قيود كافية على بعض عبارات SQL، مما سمح للمهاجم بالوصول إلى الملفات الحساسة على الخادم أو اختراق المثيل. المكون المعرض للخطر هو عقدة Merge واستخدامها لـ AlaSQL.
التوصيات
قم بالترقية إلى إصدار n8n 2.14.1 أو أحدث.
قم بالترقية إلى إصدار n8n 2.13.3 أو أحدث.
قم بالترقية إلى الإصدار 1.123.26 من n8n أو أحدث.
إذا لم تكن الترقية ممكنة على الفور، فقم بتقييد أذونات إنشاء وتحرير سير العمل على المستخدمين الموثوق بهم تمامًا فقط.
إذا لم تكن الترقية ممكنة على الفور، فقم بتعطيل عقدة Merge عن طريق إضافة
n8n-nodes-base.merge إلى متغير البيئة NODES EXCLUDE.استغلال
إصلاح
RCE
Code Injection
SQL injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
N8N