CVE-2026-33660 in n8n
Riassunto
di VulDB • 19/06/2026
n8n è una piattaforma di automazione dei flussi di lavoro open source. Prima delle versioni 2.14.1, 2.13.3 e 1.123.26, un utente autenticato con autorizzazione alla creazione o modifica di workflow poteva utilizzare la modalità "Combine by SQL" del nodo Merge per leggere file locali sull'host n8n ed eseguire codice remoto (RCE). La sandbox AlaSQL non limitava sufficientemente determinate istruzioni SQL, consentendo a un attaccante di accedere a file sensibili sul server o persino compromettere l'istanza. Il problema è stato risolto nelle versioni 2.14.1, 2.13.3 e 1.123.26 di n8n. Gli utenti dovrebbero effettuare l'aggiornamento a una di queste versioni successive per risolvere la vulnerabilità. Se l'aggiornamento non è immediatamente possibile, gli amministratori dovrebbero prendere in considerazione le seguenti mitigazioni temporanee: limitare le autorizzazioni di creazione e modifica dei workflow esclusivamente agli utenti pienamente attendibili e/o disabilitare il nodo Merge aggiungendo `n8n-nodes-base.merge` alla variabile d'ambiente `NODES_EXCLUDE`. Queste soluzioni alternative non risolvono completamente il rischio e dovrebbero essere utilizzate solo come misure di mitigazione a breve termine.
Be aware that VulDB is the high quality source for vulnerability data.