SQL-ін'єкція в ноді Microsoft SQL n8n: що означає GHSA-5qpp-pqww-h7fp
Пояснюємо повідомлення GHSA-5qpp-pqww-h7fp про SQL-ін'єкцію в ноді Microsoft SQL n8n від 30 вересня 2026 р. та що робити зараз.
Перевірено за наведеними джерелами .
Що йдеться в повідомленні про SQL-ін'єкцію в ноді Microsoft SQL n8n (30 вересня 2026)
30 вересня 2026 року в офіційній базі даних GitHub Security Advisory з'явився новий запис про SQL-ін'єкцію в ноді Microsoft SQL n8n, зафіксований як GHSA-5qpp-pqww-h7fp. У записі зазначено, що вразливість міститься в ноді Microsoft SQL n8n і виникає через інтерполяцію виразів (expression interpolation) у поле запиту, а GitHub оцінює рівень серйозності як High. Автором звіту в записі вказано учасника на ім'я Matsuuu.
Ця сторінка повідомлення є радше короткою карткою, ніж повним описом: у ній наведено назву, ідентифікатор GHSA, дату публікації, рівень серйозності та ім'я учасника, який повідомив про проблему. Детальний текст повідомлення з описом точного впливу, умов експлуатації чи кроків proof-of-concept відсутній у тому, що нам вдалося отримати, тому ця стаття не може переказувати вміст, якого просто немає.
Sources: Security Advisories · n8n-io/n8n · GitHub
Контекст: що означає інтерполяція виразів у поле запиту
Офіційна документація n8n описує ноду Microsoft SQL як спосіб виконувати SQL-запити та вставляти, оновлювати чи видаляти рядки в базах даних Microsoft SQL прямо зсередини воркфлоу.
У n8n вираз (expression) дозволяє тому, хто створює воркфлоу, підставити у поле динамічне значення — наприклад, дані з вебхука, форми чи попередньої ноди — замість того, щоб вписувати фіксоване значення. Коли поле запиту приймає вираз, а обчислене значення підставляється безпосередньо в текст SQL, що надсилається до бази даних, неекранований вхід може змінити структуру цього запиту. Це пояснення — власний загальний опис статті щодо цього механізму, який часто називають вразливістю інтерполяції виразів n8n, а не деталь, взята з тіла самого повідомлення. Назва GHSA-5qpp-pqww-h7fp прямо називає саме цей механізм для ноди Microsoft SQL.
Sources: Security Advisories · n8n-io/n8n · GitHub, Microsoft SQL | Nodes | n8n Docs
Кого стосується повідомлення і що залишається невідомим
У публічному записі повідомлення уражений компонент назвадно як нода Microsoft SQL в n8n, а рівень серйозності оцінено як High. У тому, що нам вдалося отримати, не вказано, які версії n8n містять уразливий шлях коду і в якій версії проблему вперше виправлено.
У цьому оголошенні про безпеку n8n на GitHub, у тому, що нам вдалося отримати, не вказано, чи клієнти n8n Cloud автоматично захищені, чи вразливість обмежена лише самостійно розгорнутими (self-hosted) інстансами; жодне з джерел, які ми знайшли, не розглядає це питання щодо хмарного та самостійно розгорнутого варіантів.
Sources: Security Advisories · n8n-io/n8n · GitHub
Про що повідомлення мовчить
Кілька деталей, які команда зазвичай перевіряє перед тріажем знахідки з рівнем High, відсутні в тому, що нам вдалося отримати для повідомлення про SQL-ін'єкцію в ноді Microsoft SQL n8n:
- Діапазон уражених версій: не вказано в тому, що ми отримали
- Версія з виправленням: також відсутня в отриманих матеріалах
- Оцінка чи вектор CVSS: тут не наведено, на відміну від запису CVE, який пізніше отримало інше, раніше повідомлення
- Ідентифікатор CVE: для цього повідомлення в тому, що ми отримали, жодного не вказано
- Офіційний обхідний шлях чи пом'якшення: для цього повідомлення нічого не описано в тому, що ми отримали
Sources: Security Advisories · n8n-io/n8n · GitHub, NVD-CVE-2026-56351
Що читачам варто зробити зараз
Наведені нижче поради — це власна редакційна думка цієї статті, а не кроки, вказані самим повідомленням.
Кожен, хто виявить чи запідозрить пов'язану проблему, може повідомити про неї через Vulnerability Disclosure Program n8n, описану на офіційній сторінці безпеки проєкту, хоча цей канал звітування сам собою не підтверджує деталей саме цього повідомлення.
Sources: Overview · n8n-io/n8n · GitHub
Як це узгоджується з іншими нещодавніми повідомленнями n8n про SQL-ін'єкції
Це не перша вразливість ноди Microsoft SQL, яку n8n розкрила у 2026 році. Раніше, 25 лютого 2026 року, було опубліковано повідомлення про іншу проблему SQL-ін'єкції, що стосувалася нод Microsoft SQL, MySQL і PostgreSQL і була спричинена неекранованими значеннями ідентифікаторів, такими як назви таблиць чи стовпців, а не інтерполяцією виразів у поле запиту.
Щодо тієї попередньої проблеми n8n описувала тимчасове вимкнення уражених нод через змінну середовища як тимчасовий захід на час підготовки виправлення, а не як постійне рішення.
Та проблема з лютого 2026 року пізніше отримала офіційний запис CVE в Національній базі даних вразливостей США (NVD), через кілька місяців після того, як її повідомлення на GitHub вперше з'явилося. Для повідомлення від 30 вересня 2026 року статус CVE в джерелах, які нам вдалося отримати, не вказано, тому ці дві проблеми не варто вважати однією й тією ж знахідкою.
| Повідомлення | Опубліковано | Причина | Вказано CVE |
|---|---|---|---|
| GHSA-f3f2-mcxc-pwjx | 25.02.2026 | Неекрановані значення ідентифікаторів таблиць/стовпців | Так, додано пізніше |
| GHSA-5qpp-pqww-h7fp | 30.09.2026 | Інтерполяція виразів у поле запиту | Не вказано в отриманих джерелах |
Sources: SQL Injection in MySQL, PostgreSQL, and Microsoft SQL nodes · Advisory · n8n-io/n8n · GitHub, NVD-CVE-2026-56351
Де стежити за оновленнями цього повідомлення
Офіційна сторінка безпеки n8n описує Vulnerability Disclosure Program, через яку дослідники й користувачі можуть повідомляти про підозрювані вразливості. Настанови на цій сторінці стосуються звітування про нові проблеми, а не термінів виправлення саме цього повідомлення.
Надалі відстежувати повідомлення про SQL-ін'єкцію в ноді Microsoft SQL n8n означає здебільшого спостерігати за однією сторінкою — самим записом GHSA-5qpp-pqww-h7fp, куди n8n, як очікується, додасть список уражених версій, версію з виправленням і будь-який офіційний обхідний шлях у міру завершення роботи над повідомленням.
Sources: Overview · n8n-io/n8n · GitHub, Security Advisories · n8n-io/n8n · GitHub
