CVE-2026-33713 n8n SQL 注入漏洞，高危！

n8n (CVE-2026-33713) 的 'Data Table Get' 节点存在 SQL 注入漏洞。 具有创建或修改工作流权限的经过身份验证的用户可能会利用此漏洞。 在默认的 SQLite 数据库中，语句操作实际上受到限制。 但是，在 PostgreSQL 部署中，可以执行多语句，从而启用数据修改和删除。 这对 PostgreSQL 环境中的数据完整性构成重大风险。

Organizations utilizing n8n for workflow automation, particularly those running PostgreSQL databases, are at risk. This includes businesses relying on n8n for data integration, process automation, and API management. Environments with less stringent user permission controls are also at higher risk, as the vulnerability requires only authenticated user access to create or modify workflows.

• nodejs / server:

grep -r "Data Table Get node" /opt/n8n/resources/app/nodes/

• linux / server:

journalctl -u n8n -f | grep "SQL injection"

• database (postgresql):

SELECT query FROM audit_log WHERE query LIKE '%DROP TABLE%';

1. 2026-03-26Disclosure

   disclosure

1. 已保留2026-03-23
2. 发布日期2026-03-26
3. EPSS 更新日期2026-04-02

为了减轻此风险，强烈建议升级到包含修复程序的 n8n 版本。 版本 1.123.26、2.13.3 和 2.14.1 包含对此漏洞的修复。 如果无法立即升级，请审查并限制用户权限，以限制他们创建或修改工作流的能力。 监控数据库活动也可以帮助检测潜在的利用尝试。