Nil340

**Name of the Vulnerable Software and Affected Versions** n8n versions prior to 2.14.1 n8n versions prior to 2.13.3 n8n versions prior to 1.123.26 **Description** n8n is a workflow automation platform. A user authenticated with permissions to create or modify workflows could leverage the "Combine by SQL" mode within the Merge node to read local files on the n8n host and potentially achieve remote code execution. The AlaSQL sandbox lacked sufficient restrictions on certain SQL statements, enabling an attacker to access sensitive files on the server or compromise the instance. The vulnerable component is the Merge node and its use of AlaSQL. **Recommendations** Upgrade to n8n version 2.14.1 or later. Upgrade to n8n version 2.13.3 or later. Upgrade to n8n version 1.123.26 or later. If upgrading is not immediately possible, limit workflow creation and editing permissions to fully trusted users only. If upgrading is not immediately possible, disable the Merge node by adding `n8n-nodes-base.merge` to the `NODES EXCLUDE` environment variable.

Nome do Software Vulnerável e Versões Afetadas n8n versões anteriores a 2.10.1 n8n versões anteriores a 2.9.3 n8n versões anteriores a 1.123.22 Descrição O n8n é uma plataforma de automação de fluxos de trabalho de código aberto. Um usuário autenticado com permissão para criar ou modificar fluxos de trabalho poderia explorar o modo de consulta SQL do nó Merge para executar código arbitrário e gravar arquivos arbitrários no servidor do n8n. Isso poderia permitir, potencialmente, o controle total do servidor. Recomendações Atualize para a versão 2.10.1 do n8n ou posterior. Atualize para a versão 2.9.3 do n8n ou posterior. Atualize para a versão 1.123.22 do n8n ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do n8n anteriores a 2.10.1 Versões do n8n anteriores a 2.9.3 Versões do n8n anteriores a 1.123.22 **Descrição** O n8n é uma plataforma de automação de fluxos de trabalho suscetível à injeção de scripts arbitrários. Um usuário autenticado com permissão para criar ou modificar fluxos de trabalho pode injetar scripts maliciosos em páginas renderizadas pela aplicação n8n por meio de vários nós, incluindo o nó Form Trigger, nó Chat Trigger, nó Send & Wait, nó Webhook e nó Chat. Os scripts injetados são executados no navegador de qualquer usuário que visite a página afetada, potencialmente levando ao sequestro de sessão e à tomada de conta. **Recomendações** Atualize para a versão 2.10.1 ou superior do n8n. Atualize para a versão 2.9.3 ou superior do n8n. Atualize para a versão 1.123.22 ou superior do n8n. Se não for possível atualizar imediatamente, limite as permissões de criação e edição de fluxos de trabalho apenas a usuários totalmente confiáveis. Se não for possível atualizar imediatamente, desative o nó Webhook adicionando `n8n-nodes-base.webhook` à variável de ambiente `NODES EXCLUDE`.