n8n 在 Merge 节点 AlaSQL SQL 模式下存在多个远程代码执行漏洞

该漏洞的潜在影响非常严重。攻击者可以利用AlaSQL沙箱的限制不足，通过构造恶意的SQL语句，读取服务器上的敏感文件，例如配置文件、数据库凭证、API密钥等。更进一步，攻击者甚至可以利用这些信息完全控制n8n实例，执行任意代码，窃取数据，或者将服务器作为跳板攻击内部网络。由于n8n通常用于自动化各种业务流程，因此该漏洞可能导致敏感数据的泄露、业务中断以及更广泛的网络安全风险。该漏洞的利用方式类似于SQL注入攻击，但由于其利用了工作流节点的特性，使得攻击面更加隐蔽。

Organizations heavily reliant on n8n for workflow automation, particularly those with complex workflows involving data merging and SQL operations, are at significant risk. Shared hosting environments where multiple users have access to n8n instances are also vulnerable, as a compromised user could potentially exploit this vulnerability to impact other users on the same server.

• nodejs / server:

ps aux | grep n8n

• nodejs / server:

journalctl -u n8n -f | grep "AlaSQL sandbox"

• generic web:

curl -I http://your-n8n-instance/ | grep Server

1. 2026-03-25Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-03-25
3. 修改日期2026-04-12
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到已修复的版本：2.14.1、2.13.3或1.123.27。如果由于兼容性或其他原因无法立即升级，可以考虑以下临时缓解措施：首先，限制用户对工作流的访问权限，只授予必要的权限，避免赋予用户创建或修改工作流的权限。其次，禁用Merge节点的“通过SQL合并”模式，或者对该模式的使用进行严格的审计和监控。此外，可以考虑使用Web应用防火墙（WAF）来检测和阻止恶意的SQL注入攻击。最后，定期审查n8n的配置，确保其安全性。