🇰🇷 한글 설명
n8n은 오픈소스 워크플로우 자동화 플랫폼입니다. 2.25.7 및 2.26.2 이전 버전에서는 워크플로우를 생성하거나 수정할 권한이 있는 인증된 사용자가 TimescaleDB 및/또는 레거시 Postgres v1 노드에 조작된 파라미터를 전달하여 임의의 SQL을 주입하고 실행할 수 있습니다. 실행은 설정된 데이터베이스 계정의 권한 범위 내에서 이루어집니다. 해당 취약점은 2.25.7 및 2.26.2에서 수정되었습니다.
💡 쉬운 설명
워크플로우를 만들 수 있는 사용자가 데이터베이스 명령을 몰래 끼워 넣어 데이터베이스를 조작할 수 있는 문제입니다. 업데이트를 통해 이 문제를 해결할 수 있습니다.
🇺🇸 원문 (English)
n8n is an open source workflow automation platform. Prior to 2.25.7 and 2.26.2, an authenticated user with permission to create or modify workflows could supply a crafted parameters to the TimescaleDB and/or legacy Postgres v1 node's allowing arbitrary SQL to be injected and executed against the connected database within the privileges of the configured database account. This vulnerability is fixed in 2.25.7 and 2.26.2.
📍 영향받는 시스템
n8n 2.25.7 미만 및 2.26.2 미만 버전 (TimescaleDB 및 Postgres v1 노드 사용 환경)
⚔️ 공격 벡터
워크플로우 생성/수정 권한을 가진 인증 사용자가 TimescaleDB/Postgres 노드 파라미터에 악성 SQL을 삽입하여 연결된 데이터베이스에서 실행
🛡️ 대응 방법
n8n을 2.25.7 또는 2.26.2 이상으로 업그레이드하고, 데이터베이스 계정에 최소 권한만 부여
🔧 검증 코드
출력된 버전이 2.25.7 이상(2.25.x 계열) 또는 2.26.2 이상(2.26.x 계열)이면 수정된 버전이며, 그보다 낮으면 취약합니다.
n8n --version 2>/dev/null || npm list -g n8n 2>/dev/null | grep n8n