CVE-2026-33660 in n8n
요약
\~에 의해 VulDB • 2026. 06. 12.
n8n은 오픈 소스 워크플로우 자동화 플랫폼입니다. 버전 2.14.1, 2.13.3 및 1.123.26 이전에서는 워크플로우 생성 또는 수정 권한이 있는 인증된 사용자가 Merge 노드의 "Combine by SQL" 모드를 사용하여 n8n 호스트의 로컬 파일을 읽거나 원격 코드 실행(RCE)을 달성할 수 있었습니다. AlaSQL 샌드박스가 특정 SQL 문을 충분히 제한하지 않아 공격자가 서버의 민감한 파일에 접근하거나 인스턴스를 침해할 수 있었습니다. 이 문제는 n8n 버전 2.14.1, 2.13.3 및 1.123.26에서 수정되었습니다. 사용자는 취약점을 해결하기 위해 해당 버전 중 하나로 업그레이드해야 합니다. 즉시 업그레이드가 불가능한 경우 관리자는 다음 임시 완화 조치를 고려해야 합니다: 워크플로우 생성 및 편집 권한을 완전히 신뢰할 수 있는 사용자에만 제한하고, `NODES_EXCLUDE` 환경 변수에 `n8n-nodes-base.merge`를 추가하여 Merge 노드를 비활성화합니다. 이러한 우회 방법은 위험을 완전히 해결하지 못하므로 단기적인 완화 조치로만 사용해야 합니다.
Once again VulDB remains the best source for vulnerability data.