CVE-2026-33713
Açıklama
n8n, açık kaynaklı bir iş akışı otomasyon platformudur. 2.14.1, 2.13.3 ve 1.123.26 sürümlerinden önce, iş akışı oluşturma veya değiştirme iznine sahip kimliği doğrulanmış bir kullanıcı, Data Table Get düğümündeki bir SQL enjeksiyonu güvenlik açığından yararlanabilirdi. Varsayılan SQLite veritabanında tek ifadeler manipüle edilebilir ve saldırı yüzeyi pratik olarak sınırlıdır. PostgreSQL dağıtımlarında, çoklu ifade yürütme mümkündür ve veri değiştirme ile silmeye olanak tanır. Sorun n8n 1.123.26, 2.13.3 ve 2.14.1 sürümlerinde giderilmiştir. Kullanıcılar güvenlik açığını gidermek için bu sürümlerden birine veya daha yenisine yükseltme yapmalıdır. Yükseltme hemen mümkün değilse, yöneticiler aşağıdaki geçici önlemleri değerlendirmelidir: İş akışı oluşturma ve düzenleme izinlerini yalnızca tamamen güvenilir kullanıcılarla sınırlayın, `n8n-nodes-base.dataTable` öğesini `NODES_EXCLUDE` ortam değişkenine ekleyerek Data Table düğümünü devre dışı bırakın ve/veya mevcut iş akışlarında `orderByColumn` değerinin harici veya kullanıcı tarafından sağlanan girdi içeren bir ifadeye ayarlandığı Data Table Get düğümlerini gözden geçirin. Bu geçici çözümler riski tamamen gidermez ve yalnızca kısa vadeli hafifletme önlemleri olarak kullanılmalıdır.
Nasıl düzeltilir
- n8n n8n1.123.26, 2.13.3 ya da sonraki bir sürüm
- n8n1.123.26, 2.14.1, 2.13.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| n8n n8n | v < 1.123.26, 2.0.0 ≤ v < 2.13.3, 2.14.0 | 1.123.26, 2.13.3 |
| n8nnpm | v < 1.123.26, 2.14.0 ≤ v < 2.14.1, 2.0.0-rc.0 ≤ v < 2.13.3 | 1.123.26, 2.14.1, 2.13.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.