CVE-2026-33660 in n8n
الملخص
بحسب VulDB • 19/06/2026
ن8n هو منصة أتمتة سير العمل مفتوحة المصدر. قبل الإصدارات 2.14.1 و2.13.3 و1.123.26، كان بإمكان المستخدم المصادق عليه والذي يمتلك صلاحية إنشاء أو تعديل سير العمل استخدام وضع "الدمج عبر SQL" في عقدة الدمج (Merge node) لقراءة الملفات المحلية على مضيف n8n وتحقيق تنفيذ الكود عن بُعد (RCE). لم تقم بيئة العزل (sandbox) الخاصة بـ AlaSQL بتقييد عبارات SQL معينة بشكل كافٍ، مما سمح للمهاجم بالوصول إلى ملفات حساسة على الخادم أو حتى اختراق المثيل. تم إصلاح هذه المشكلة في إصدارات n8n 2.14.1 و2.13.3 و1.123.26. يجب على المستخدمين الترقية إلى أحد هذه الإصدارات أو أحدث للتصدي للثغرة الأمنية. إذا لم يكن الترقية ممكنًا فوراً، ينبغي للمسؤولين النظر في إجراءات التخفيف المؤقتة التالية: تقييد صلاحيات إنشاء وتحرير سير العمل للمستخدمين الموثوق بهم تماماً فقط، و/أو تعطيل عقدة الدمج (Merge node) عن طريق إضافة `n8n-nodes-base.merge` إلى متغير البيئة `NODES_EXCLUDE`. لا تؤدي هذه الحلول البديلة إلى التصديق الكامل على المخاطر ويجب استخدامها كإجراءات تخفيف قصيرة الأمد فقط.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.