CVE-2026-54310
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.25.7 i 2.26.2, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł dostarczyć spreparowane parametry do węzła TimescaleDB i/lub legacy Postgres v1, co pozwalało na wstrzyknięcie i wykonanie dowolnego SQL w połączonej bazie danych w ramach uprawnień skonfigurowanego konta bazy danych.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego dostępu do danych w bazie danych, co stwarza poważne zagrożenie dla integralności i poufności informacji w organizacji.
Rekomendacja
Zaleca się aktualizację n8n do wersji 2.25.7 lub 2.26.2, aby usunąć tę podatność oraz przegląd uprawnień użytkowników w celu ograniczenia ryzyka.
Inne podatności w n8n workflow automation platform
Zobacz wszystkie- CVE-2026-42234Wysokie
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.32, 2.17.4 i 2.18.1, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych zawierających węzeł kodu Python mógł wydostać się z piaskownicy i uzyskać dowolne wykonanie kodu w kontenerze uruchamiającym zadania.
- CVE-2026-54307Krytyczne
W n8n przed wersjami 1.123.55, 2.25.7 i 2.26.2 użytkownik z rolą edytora w udostępnionym przepływie pracy mógł odwoływać się do poświadczeń, których nie był właścicielem, za pomocą określonych publicznych punktów końcowych API. Kontrole własności poświadczeń były egzekwowane tylko częściowo, co prowadziło do nieautoryzowanego dostępu do poświadczeń między użytkownikami.
- CVE-2026-44791Krytyczne
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.43, 2.22.1 i 2.20.7, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł obejść poprawkę dla CVE-2026-42232 w węźle XML, co w połączeniu z innymi węzłami mogło prowadzić do zdalnego wykonania kodu na hoście n8n.
- CVE-2026-44789Krytyczne
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.43, 2.22.1 i 2.20.7, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł osiągnąć globalne zanieczyszczenie prototypu za pomocą niezweryfikowanego parametru paginacji w węźle żądania HTTP.
- CVE-2026-44790Wysokie
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 1.123.43, 2.22.1 i 2.20.7, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł wstrzyknąć flagi CLI w operacji Push w węźle Git, co pozwalało atakującemu na odczyt dowolnych plików z serwera n8n, co potencjalnie prowadziło do pełnego kompromitacji.
- CVE-2026-54311Wysokie
n8n to platforma automatyzacji procesów roboczych typu open source. Przed wersjami 2.25.7 i 2.26.2, uwierzytelniony użytkownik z uprawnieniami do tworzenia lub modyfikowania procesów roboczych mógł zanieczyścić sandbox używany przez tryb zapytania SQL w węźle Merge.
Oryginalny opis (angielski, źródło NVD)
n8n is an open source workflow automation platform. Prior to 2.25.7 and 2.26.2, an authenticated user with permission to create or modify workflows could supply a crafted parameters to the TimescaleDB and/or legacy Postgres v1 node's allowing arbitrary SQL to be injected and executed against the connected database within the privileges of the configured database account. This vulnerability is fixed in 2.25.7 and 2.26.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS