本文使用的 Docker 镜像
发布日期： 2026 年 10 月 30 日
风险等级： 高危（High）
漏洞编号： CVE-2026-119408、CVE-2026-119557
涉及镜像： n8nio/n8n — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-119408 为 8.8（High，CVSS 3.1；CVSS 4.0 为 8.7）· CVE-2026-119557 的 CVSS 4.0 为 8.2，CVSS 3.1 为 5.9（Medium）
披露时间： NVD 于 2026 年 10 月 30 日进入本窗口
相关公告： GHSA-9p7v-45m2-wxgj
一、漏洞概述
两条都出在官方镜像 n8nio/n8n 上，修复方式不一样。
CVE-2026-119408。 已经能创建、修改或导入工作流的用户，可以通过界面里已经隐藏的 Function、Function Item 和 LangChain Code 节点，在 task runner 隔离之外的 n8n 主进程里执行 JavaScript。工作流编辑权限就够。CVSS 3.1 为 8.8。
CVE-2026-119557。 2.14.0 到 2.46.3 的 Databricks 节点没有校验空间、索引和文件路径。实例上已经存了 Databricks 凭据，并且 webhook、chat 或 form 对公网开放时，未登录的人可以把请求转到 Databricks 的其它接口，用已存凭据把密钥读走。CVSS 4.0 为 8.2，CVSS 3.1 记为 5.9。
二、漏洞状态
统计截止： 2026 年 10 月 30 日（UTC+8）
| 项目 | 状态 |
|---|---|
| CVE-2026-119408 补丁 | 2.42.6（2.42 线）、2.43.3（2.43 线）、3.0.1（3.x）。Hub 上这三个标签都在 |
| 2.45.6 | 不在上述三条修复线上。此前按别的漏洞固定到 2.45.6 的实例，这条仍要再改 |
| CVE-2026-119557 | NVD 写明受影响到 2.46.3。Hub 上 2.46.3 于 2026 年 10 月 30 日仍在推送，没有更高的 2.46 修复标签。3.0.1 不是这条的补丁 |
| CISA KEV | 未列入 |
三、影响范围
编辑器或导入入口对用户开放、版本未打 CVE-2026-119408 补丁的实例。Databricks 那条还要求实例已经配置了该节点的凭据，并且触发器可以从不可信网络打到。
四、修复建议
先处理 CVE-2026-119408。 当前主线升到 3.0.1。还停在 2.42 或 2.43 的，分别升到 2.42.6、2.43.3，不要顺手升到 2.45 或 2.46。
bashdocker pull docker.xuanyuan.run/n8nio/n8n:3.0.1
bashdocker pull docker.xuanyuan.run/n8nio/n8n:2.42.6 docker pull docker.xuanyuan.run/n8nio/n8n:2.43.3
CVE-2026-119557 还没有可拉取的修复标签。 不要拉取 2.46.3、latest、next、beta 或 3.0.1 来修这条。在官方放出高于 2.46.3 的修复版之前，停用 Databricks 节点，或不要把 webhook、chat、form 暴露到公网。
Docker Hub： n8nio/n8n
轩辕镜像： n8nio/n8n
五、临时缓解措施
收紧谁能创建、修改和导入工作流。Databricks 节点不用就关掉。公开触发器先从公网撤下来。这些都不能代替 3.0.1（或对应小版本线）上的 Function 节点修复。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 n8n 的版本修复。docker pull docker.xuanyuan.run/n8nio/n8n:3.0.1 只覆盖 CVE-2026-119408 这条主线修复。加速拉取 latest 不会锁定在 3.0.1，也不会修 Databricks 那条。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- NVD：CVE-2026-119408 · CVE-2026-119557
- GitHub：GHSA-9p7v-45m2-wxgj
- Docker Hub：n8nio/n8n
- 轩辕站内镜像页：n8nio/n8n
阅读原文
轩辕镜像安全团队
2026 年 10 月 30 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。