CVE-2026-33660 in n8n
Résumé
par VulDB • 31/05/2026
n8n est une plateforme d'automatisation des workflows open source. Avant les versions 2.14.1, 2.13.3 et 1.123.26, un utilisateur authentifié disposant des autorisations de création ou de modification de workflows pouvait utiliser le mode « Combine by SQL » du nœud Merge pour lire des fichiers locaux sur l'hôte n8n et obtenir une exécution de code à distance (RCE). Le sandbox AlaSQL ne restreignait pas suffisamment certaines instructions SQL, permettant à un attaquant d'accéder à des fichiers sensibles sur le serveur ou même de compromettre l'instance. Le problème a été corrigé dans les versions n8n 2.14.1, 2.13.3 et 1.123.26. Les utilisateurs doivent mettre à niveau vers l'une de ces versions ou une version ultérieure pour remédier à la vulnérabilité. Si la mise à niveau n'est pas immédiatement possible, les administrateurs devraient envisager les atténuations temporaires suivantes : limiter les autorisations de création et de modification de workflows aux utilisateurs entièrement de confiance, et/ou désactiver le nœud Merge en ajoutant `n8n-nodes-base.merge` à la variable d'environnement `NODES_EXCLUDE`. Ces contournements ne remédient pas entièrement au risque et ne doivent être utilisés que comme mesures d'atténuation à court terme.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.