PT-2026-70177 · Postgresql Global Development Group+1 · Postgresql+1
CVSS v3.1
8.8
عالية
| المتجه | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n الأقدم من 1.123.67
إصدارات n8n الأقدم من 2.31.5
إصدارات n8n الأقدم من 2.32.1
الوصف
تفشل عقدة PostgresTrigger في إجراء الهروب (escape) بشكل صحيح لمعلمات المعرفات التي يزودها المستخدم عند إدراجها في عبارات SQL. وهذا يسمح لمستخدم تمت مصادقته بتنفيذ حقن SQL، وتنفيذ أوامر SQL تعسفية على قاعدة بيانات PostgreSQL المتصلة باستخدام امتيازات بيانات الاعتماد المُعدة، مما قد يؤدي إلى الحصول على وصول كامل للقراءة والكتابة. المعلمات المتأثرة هي
channel وfunction وtrigger names.التوصيات
قم بالتحديث إلى الإصدار 1.123.67 أو أحدث.
قم بالتحديث إلى الإصدار 2.31.5 أو أحدث.
قم بالتحديث إلى الإصدار 2.32.1 أو أحدث.
كإجراء تخفيفي مؤقت، قم بتقييد استخدام عقدة PostgresTrigger.
استغلال
إصلاح
SQL injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Postgresql
N8N