CVE-2026-59257
Təsvir
n8n 1.123.61-dən əvvəl, 2.x 2.27.4-dən əvvəl və 2.28.x 2.28.1-dən əvvəl versiyalarında legacy MySQL v1 node-unun executeQuery əməliyyatında SQL inyeksiyası zəifliyi var. Əməliyyat qiymətləndirilmiş {{ ... }} ifadə dəyərlərini parametrləşdirmədən birbaşa xam SQL sətrinə əvəz edir. İş axını bu əməliyyatı ifadə mənbəli dəyərlərlə istifadə etdikdə və xaricdən əlçatan tetikleyiciyə (məsələn, Webhook node) qoşulduqda, həmin ifadələrə çatan hücumçu nəzarətindəki giriş SQL inyeksiyası ilə nəticələnir və konfiqurasiya edilmiş MySQL etimadnamələrinin imtiyazları ilə ixtiyari SQL-in icrasına imkan verir. Parametrləşdirilmiş sorğulardan istifadə edən MySQL v2 node təsirlənmir.
Necə düzəltmək olar
- n8n n8n1.123.61, 2.27.4 və ya daha yeni versiya
- n8n1.123.61, 2.28.1, 2.27.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| n8n n8n | v < 1.123.61, 2.0.0 ≤ v < 2.27.4, 2.28.0 | 1.123.61, 2.27.4 |
| n8nnpm | v < 1.123.61, 2.28.0 ≤ v < 2.28.1, 2.0.0-rc.0 ≤ v < 2.27.4 | 1.123.61, 2.28.1, 2.27.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.