CVE-2026-33660 in n8n
Сводка
по VulDB • 12.06.2026
Платформа автоматизации рабочих процессов n8n является проектом с открытым исходным кодом. В версиях до 2.14.1, 2.13.3 и 1.123.26 аутентифицированный пользователь, имеющий права на создание или изменение рабочих процессов (workflows), мог использовать режим «Combine by SQL» узла Merge для чтения локальных файлов на хосте n8n и достижения удаленного выполнения кода (RCE). Песочница AlaSQL не ограничивала достаточно строго выполнение некоторых операторов SQL, что позволяло злоумышленнику получать доступ к конфиденциальным файлам на сервере или даже компрометировать экземпляр. Проблема исправлена в версиях n8n 2.14.1, 2.13.3 и 1.123.26. Пользователям следует обновиться до одной из этих версий или более поздних для устранения уязвимости. Если немедленное обновление невозможно, администраторам следует рассмотреть следующие временные меры по снижению рисков: ограничить права на создание и редактирование рабочих процессов только полностью доверенными пользователями и/или отключить узел Merge, добавив `n8n-nodes-base.merge` в переменную окружения `NODES_EXCLUDE`. Эти обходные пути не устраняют риск полностью и должны использоваться исключительно как краткосрочные меры по снижению рисков.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.