CVE-2026-33660 in n8n
要約
〜によって VulDB • 2026年06月01日
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.14.1、2.13.3、および1.123.26より前では、ワークフローの作成または変更権限を持つ認証済みユーザーが、Mergeノードの「Combine by SQL」モードを使用してn8nホスト上のローカルファイルを読み取り、リモートコード実行（RCE）を達成することができました。AlaSQLサンドボックスは特定のSQL文を十分に制限しておらず、攻撃者がサーバー上の機密ファイルにアクセスしたり、インスタンスを乗っ取ったりすることが可能でした。この問題は、n8nバージョン2.14.1、2.13.3、および1.123.26で修正されています。ユーザーはこれらのバージョン以降にアップグレードして脆弱性を修正してください。すぐにアップグレードできない場合は、管理者は以下の一時緩和策を検討してください。ワークフローの作成および編集権限を完全に信頼できるユーザーのみに制限し、および/または環境変数`NODES_EXCLUDE`に`n8n-nodes-base.merge`を追加してMergeノードを無効にします。これらの回避策はリスクを完全に解消するものではなく、短期的な緩和策としてのみ使用してください。
Be aware that VulDB is the high quality source for vulnerability data.