PT-2026-56448
CVE-2026-59257
·
تاريخ النشر
2026-07-08
·
تاريخ التحديث
2026-10-10
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n السابقة للإصدار 1.123.61
إصدارات n8n السابقة للإصدار 2.27.4
إصدارات n8n من 2.28.0 حتى 2.28.0
الوصف
توجد مشكلة حقن SQL في عقدة MySQL v1 القديمة أثناء عملية
executeQuery. يقوم النظام باستبدال قيم تعبيرات {{ ... }} التي تم تقييمها مباشرةً في سلسلة SQL الأولية دون استخدام المعلمات. إذا كان سير العمل يستخدم هذه العملية مع قيم مستمدة من تعبيرات ومرتبطًا بمشغل يمكن الوصول إليه من الخارج، مثل عقدة Webhook، فيمكن للمهاجم تقديم مدخلات ضارة لتنفيذ أوامر SQL تعسفية باستخدام امتيازات بيانات اعتماد MySQL التي تم تكوينها.التوصيات
قم بالتحديث إلى الإصدار 1.123.61 أو أحدث.
قم بالتحديث إلى الإصدار 2.27.4 أو أحدث.
قم بالتحديث إلى الإصدار 2.28.1 أو أحدث.
كإجراء تخفيفي مؤقت، تجنب استخدام عملية
executeQuery في عقدة MySQL v1 القديمة أو قم بتقييد استخدام القيم المستمدة من التعبيرات في تلك العملية.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾