CVE-2026-54687
ŚrednieCVSS 6.1Streszczenie
n8n-nodes-sqlite3 to węzeł do obsługi lokalnej bazy danych SQLite z n8n. Przed wersją 1.0.0, nodes/SqliteNode/v1/SqliteV1.node.ts udostępnia ścieżkę pliku bazy danych db_path jako parametr węzła, który pozwala na wyrażenia danych z danych wejściowych przepływu pracy. Autor przepływu pracy, który mapuje niezaufane dane wejściowe na db_path, może pozwolić zdalnemu atakującemu na wybór pliku SQLite otwieranego przez proces n8n, umożliwiając dostęp poza zamierzoną lokalizację bazy danych i potencjalnie odczyt, tworzenie lub nadpisywanie plików dostępnych dla procesu.
Ocena ryzyka
Atakujący może uzyskać dostęp do plików poza bazą danych, co może prowadzić do wycieku danych lub manipulacji plikami systemowymi.
Rekomendacja
Zaktualizuj n8n-nodes-sqlite3 do wersji 1.0.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
n8n-nodes-sqlite3 is a node for operating a local SQLite database from n8n. Prior to 1.0.0, nodes/SqliteNode/v1/SqliteV1.node.ts exposes the db_path database file path as a node parameter that permits data expressions from upstream workflow input. A workflow author who maps untrusted input to db_path can allow a remote attacker to select which SQLite file the n8n process opens, enabling traversal outside the intended database location and potentially reading, creating, or overwriting files accessible to the process. This issue is fixed in version 1.0.0.