Jubke

**Nome do Software Vulnerável e Versões Afetadas** n8n versões anteriores a 1.123.61 n8n versões anteriores a 2.27.4 n8n versões 2.28.0 a 2.28.0 **Description** Um problema de injeção de SQL existe no nó legado MySQL v1 durante a operação `executeQuery`. O sistema substitui valores de expressões `{{ ... }}` avaliados diretamente na string SQL bruta sem utilizar parametrização. Se um fluxo de trabalho utilizar esta operação com valores originados de expressões e estiver conectado a um gatilho acessível externamente, como um nó de Webhook, um invasor pode fornecer entradas maliciosas para executar comandos SQL arbitrários usando os privilégios das credenciais MySQL configuradas. **Recommendations** Atualize para a versão 1.123.61 ou posterior. Atualize para a versão 2.27.4 ou posterior. Atualize para a versão 2.28.1 ou posterior. Como mitigação temporária, evite usar a operação `executeQuery` no nó legado MySQL v1 ou restrinja o uso de valores originados de expressões nessa operação.

**Nome do Software Vulnerável e Versões Afetadas** n8n versões anteriores a 2.24.0 **Descrição** A operação Decompress do nó de Compressão expande arquivos controlados por atacantes na memória sem impor limites ao tamanho da saída descompactada. Um atacante não autenticado pode enviar um arquivo compactado pequeno para um fluxo de trabalho de webhook público que utilize este nó, levando à exaustão de memória. Isso faz com que o processo do n8n seja encerrado, interrompendo todos os fluxos de trabalho na mesma instância. **Recomendações** Atualize para a versão 2.24.0 ou posterior. Como alternativa temporária, desative o nó de Compressão adicionando `n8n-nodes-base.compression` à variável de ambiente `NODES EXCLUDE`. Restrinja fluxos de trabalho de webhook públicos que aceitam uploads de arquivos compactados apenas a endpoints autenticados.

**Nome do Software Vulnerável e Versões Afetadas** n8n versões anteriores a 1.123.32 n8n versões anteriores a 2.17.4 n8n versões anteriores a 2.18.1 **Description** Uma plataforma de automação de fluxo de trabalho de código aberto contém um problema onde o nó Snowflake e o nó legado MySQL v1 constroem consultas SQL interpolando diretamente nomes de tabelas, nomes de colunas e chaves de atualização controladas pelo usuário em strings de consulta sem a apropriação de identificadores. Isso permite a injeção de SQL contra o banco de dados conectado. **Recommendations** Atualize para a versão 1.123.32. Atualize para a versão 2.17.4. Atualize para a versão 2.18.1.