Inyección SQL en el nodo Microsoft SQL de n8n: qué significa GHSA-5qpp-pqww-h7fp
Este artículo explica el aviso de inyección SQL en el nodo Microsoft SQL de n8n GHSA-5qpp-pqww-h7fp, publicado el 30 de septiembre de 2026, y qué hacer ahora.
Comprobado con las fuentes citadas el .
Qué dice el aviso de inyección SQL en el nodo Microsoft SQL de n8n (30 de septiembre de 2026)
La base de datos oficial de avisos de seguridad de GitHub publicó una nueva entrada sobre inyección SQL en el nodo Microsoft SQL de n8n el 30 de septiembre de 2026, registrada como GHSA-5qpp-pqww-h7fp. La ficha indica que la vulnerabilidad se encuentra en el nodo Microsoft SQL de n8n y se debe a la interpolación de expresiones en el campo de la consulta, y GitHub califica la gravedad como Alta. La entrada atribuye el reporte a un colaborador llamado Matsuuu.
Esta página de aviso funciona como una ficha resumida más que como un informe completo: indica el título, el identificador GHSA, la fecha de publicación, la calificación de gravedad y el colaborador que hizo el reporte. El cuerpo detallado del aviso, que describiría el impacto exacto, las condiciones de explotación o los pasos de una prueba de concepto, no está presente en lo que pudimos consultar, por lo que este artículo no puede resumir un contenido que sencillamente no está ahí.
Sources: Security Advisories · n8n-io/n8n · GitHub
Contexto: qué significa la interpolación de expresiones en el campo de la consulta
La propia documentación de n8n describe el nodo Microsoft SQL como una forma de ejecutar consultas SQL y de insertar, actualizar o eliminar filas en bases de datos Microsoft SQL desde dentro de un flujo de trabajo.
En n8n, una expresión permite que quien construye un flujo de trabajo inserte un valor dinámico, como datos procedentes de un webhook, un formulario o un nodo anterior, en un campo en lugar de escribir un valor fijo. Cuando un campo de consulta acepta una expresión y el valor resuelto se interpola directamente en el texto SQL enviado a la base de datos, una entrada sin escapar puede alterar la estructura de esa consulta. Esta explicación es una descripción general del propio artículo sobre ese mecanismo, comúnmente llamado vulnerabilidad de interpolación de expresiones en n8n, y no es un detalle extraído del cuerpo del aviso en sí. El título de GHSA-5qpp-pqww-h7fp nombra exactamente este mecanismo para el nodo Microsoft SQL.
Sources: Security Advisories · n8n-io/n8n · GitHub, Microsoft SQL | Nodes | n8n Docs
A quién afecta el aviso y qué queda sin especificar
La ficha pública del aviso nombra al nodo Microsoft SQL de n8n como el componente afectado y califica el problema como de gravedad Alta. En lo que hemos podido consultar, no se indica qué versiones de n8n incluyen la ruta de código vulnerable ni cuál es la primera versión que la corrige.
Este anuncio de seguridad de n8n en GitHub no indica, en lo que hemos consultado, si los clientes de n8n Cloud están protegidos automáticamente o si la exposición se limita a las instancias autoalojadas; no hemos encontrado ninguna fuente que aborde esa cuestión de alcance entre nube y autoalojado.
Sources: Security Advisories · n8n-io/n8n · GitHub
Lo que el aviso no dice
Faltan en lo que pudimos consultar sobre el aviso de inyección SQL en el nodo Microsoft SQL de n8n varios detalles que un equipo normalmente comprobaría antes de triar un hallazgo de gravedad Alta:
- Rango de versiones afectadas: no se indica en lo que hemos consultado
- Versión corregida: tampoco aparece en el material consultado
- Puntuación o vector CVSS: no se ofrece aquí, a diferencia de la entrada CVE que recibió más tarde un aviso anterior y distinto
- Identificador CVE: no hay ninguno listado para este aviso en lo que hemos consultado
- Solución alternativa o mitigación oficial: no se describe ninguna para este aviso en lo que hemos consultado
Sources: Security Advisories · n8n-io/n8n · GitHub, NVD-CVE-2026-56351
Qué deberían hacer los lectores ahora
Las sugerencias siguientes son criterio editorial propio de este artículo, no pasos indicados por el propio aviso.
Cualquiera que encuentre o sospeche de un problema relacionado puede reportarlo a través del Programa de Divulgación de Vulnerabilidades de n8n, descrito en la página oficial de seguridad del proyecto, aunque ese canal de reporte no confirma por sí mismo los detalles de este aviso concreto.
Sources: Overview · n8n-io/n8n · GitHub
Cómo encaja esto con los otros avisos recientes de inyección SQL de n8n
Esta no es la primera vulnerabilidad del nodo Microsoft SQL que n8n ha revelado en 2026. Un aviso anterior, publicado el 25 de febrero de 2026, describía un problema de inyección SQL distinto que afectaba a los nodos Microsoft SQL, MySQL y PostgreSQL, causado por valores de identificadores sin escapar, como nombres de tablas o columnas, en lugar de por la interpolación de expresiones en el campo de la consulta.
Para ese problema anterior, n8n describió la desactivación temporal de los nodos afectados mediante una variable de entorno como medida provisional mientras se preparaba un parche, no como una solución permanente.
Ese problema de febrero de 2026 recibió más tarde una entrada CVE formal en la Base de Datos Nacional de Vulnerabilidades de EE. UU., meses después de que su aviso de GitHub se publicara por primera vez. En las fuentes que pudimos consultar no se indica ningún estado CVE para el aviso del 30 de septiembre de 2026, por lo que ambos no deben tratarse como el mismo hallazgo.
| Aviso | Publicado | Causa raíz | CVE indicado |
|---|---|---|---|
| GHSA-f3f2-mcxc-pwjx | 25 feb 2026 | Valores de identificadores de tabla/columna sin escapar | Sí, añadido más tarde |
| GHSA-5qpp-pqww-h7fp | 30 sep 2026 | Interpolación de expresiones en el campo de la consulta | No indicado en las fuentes consultadas |
Sources: SQL Injection in MySQL, PostgreSQL, and Microsoft SQL nodes · Advisory · n8n-io/n8n · GitHub, NVD-CVE-2026-56351
Dónde consultar novedades sobre este aviso
La página oficial de seguridad de n8n describe un Programa de Divulgación de Vulnerabilidades a través del cual investigadores y usuarios pueden reportar posibles vulnerabilidades. La orientación de esa página trata sobre cómo reportar nuevos problemas, no sobre el calendario de corrección de este aviso.
Seguir la evolución del aviso de inyección SQL en el nodo Microsoft SQL de n8n consiste principalmente en vigilar una sola página: la propia entrada GHSA-5qpp-pqww-h7fp, donde cabe esperar que n8n añada la lista de versiones afectadas, la versión corregida y cualquier solución alternativa oficial a medida que se complete el aviso.
Sources: Overview · n8n-io/n8n · GitHub, Security Advisories · n8n-io/n8n · GitHub
