CVE Intelligence
Análise Assistido por IA

CVE-2026-54310: n8n: Injeção de SQL nos nós TimescaleDB e Postgres v1

A CVE-2026-54310 é uma falha de injeção de SQL nos nós TimescaleDB e Postgres v1 (legado) da plataforma de automação de fluxos n8n. Um usuário autenticado com permissão para criar ou modificar fluxos pode, em tese, executar SQL arbitrário no banco conectado, com os privilégios da conta de banco configurada. O fabricante corrigiu o problema nas versões 2.25.7 e 2.26.2.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

n8n é uma plataforma de automação de fluxos de trabalho de código aberto. A CVE-2026-54310 afeta os nós TimescaleDB e Postgres v1 (legado), nos quais parâmetros fornecidos em um fluxo não são tratados de forma segura e podem alterar a instrução SQL enviada ao banco de dados. A fraqueza é classificada como CWE-89 (Injeção de SQL).

Impacto

  • O registro informa que SQL arbitrário pode ser executado contra o banco de dados conectado.
  • O alcance do ataque fica limitado aos privilégios da conta de banco configurada no nó.
  • A pontuação da NVD é 9,9 (crítica) pelo CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade, e com mudança de escopo.
  • A pontuação do CNA do GitHub é 6,5 pelo CVSS 4.0.

Produtos e versões afetadas

  • n8n: versões anteriores à 2.25.7 e versões a partir da 2.26.0 até antes da 2.26.2.
  • As versões 2.25.7 e 2.26.2 são indicadas como corrigidas.

Status de exploração

O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise.

Correção e mitigação

  • Atualize o n8n para a versão 2.25.7 ou 2.26.2 (ou uma versão posterior na mesma linha).
  • Consulte o aviso de segurança do GitHub para as orientações de mitigação do fabricante: GHSA-c37g-w77q-m4vp.
  • Até que a correção seja aplicada, restrinja quais usuários podem criar ou modificar fluxos e use contas de banco com o menor privilégio necessário para os nós.

Orientações de detecção

  • Revise os logs de auditoria e o histórico de alterações de fluxos para identificar criações ou modificações recentes de fluxos que usem os nós TimescaleDB ou Postgres v1 (legado).
  • Monitore os logs do banco de dados em busca de padrões de consulta inesperados ou erros originados da conta de banco usada pelo n8n.

Limitações das informações disponíveis

  • O registro não inclui os parâmetros específicos afetados nem uma descrição técnica da causa raiz.
  • Nenhum título foi fornecido no registro de origem; o título aqui foi derivado da descrição.
  • O registro não informa se outros nós do n8n são afetados.
  • As duas pontuações diferem por versão do CVSS e por fornecedor; a base de cada pontuação não é descrita no registro.

Perguntas frequentes

Quais versões do n8n são afetadas pela CVE-2026-54310?

O registro lista como afetadas as versões anteriores à 2.25.7 e as versões a partir da 2.26.0 até antes da 2.26.2. As versões 2.25.7 e 2.26.2 são indicadas como corrigidas.

A CVE-2026-54310 é explorada ativamente?

Não há confirmação. O catálogo KEV da CISA não lista esta CVE, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.