n8n工作流程自動化平臺修補重大漏洞，未更新可能導致遠端執行任意程式碼攻擊
漏洞概要
工作流程自動化平臺n8n近期被多家資安機構指出存在多項嚴重資安漏洞，可能導致攻擊者在未經授權的情況下執行遠端程式碼（RCE）或存取敏感資料。
主要漏洞說明
- CVE-2026-33660：問題出現在「Merge」節點的「Combine by SQL」模式中，使用的AlaSQL沙箱對SQL指令處理存在缺陷，攻擊者可藉此執行任意程式碼或存取主機檔案。
- CVE-2026-1470 與 CVE-2026-0863：這些漏洞能繞過安全檢查機制或進行沙箱逃逸，其中部分被評為重大風險，可能導致攻擊者接管伺服器。
- CVE-2025-68613：影響0.211.0至1.120.3版本的n8n，問題出現在表達式評估系統，攻擊者可透過濫用工作流程參數建立特定表達式，進而執行遠端程式碼。
- CVE-2026-21858：影響1.65.0及以前版本，攻擊者可透過對外表單流程，在未驗證情況下讀取主機檔案。
影響範圍與建議
受影響版本涵蓋n8n 0.211.0至1.120.3版本以及1.65.0以前版本。若為自行架設的n8n實體，用戶應儘速更新至最新版本以緩解風險。雲端服務版本n8n Cloud則已獲得保護。