n8nのセキュリティ脆弱性がリモートコード実行を可能にする可能性

人気のワークフロー自動化プラットフォームであるn8nにおける一連の重大な脆弱性が深刻なセキュリティ上の懸念を引き起こしており、研究者らは攻撃者が複数の欠陥を組み合わせて、影響を受けたシステムで完全なリモートコード実行（RCE）を達成できる可能性があると警告しています。

複数のGitHubセキュリティアドバイザリで開示されたこれらの問題は、1.123.43、2.20.7、および2.22.1以前のn8nバージョンに影響を及ぼします。すべての脆弱性は認証されたアクセスを必要としますが、必要な権限は低いため、複数のユーザーがワークフローを作成または編集できる環境では特に危険です。

n8nのセキュリティ脆弱性

プロトタイプ汚染がRCEへの道を開く

最も深刻な欠陥であるCVE-2026-44789は、HTTPリクエストノードに影響を与えます。研究者Jubkeが発表したアドバイザリによると、この脆弱性はページネーションパラメータの不適切な検証に起因しています。これにより、攻撃者はプロトタイプ汚染を悪用でき、この技術はJavaScriptアプリケーションのグローバルオブジェクトの動作を変更します。

悪用されると、この欠陥はワークフロー全体のアプリケーションロジックを破損させる可能性があります。他の技術と組み合わせると、最終的に攻撃者がホストシステムで任意のコードを実行することを可能にする可能性があります。

セキュリティ専門家は、n8nのような自動化ツールでは、プロトタイプ汚染が特に危険であることに注目しています。ここで、ワークフローは複数のソースからの動的データを処理することが多いです。

Gitノードのバグが任意のファイル読み取りを可能にする

2番目の重大な問題であるCVE-2026-44790は、Gitノードに影響を与えます。この欠陥により、攻撃者はGit操作（特にプッシュ機能）中に悪意のあるコマンドライン引数を注入できます。

この動作を悪用することで、攻撃者は基盤となるサーバから任意のファイルを読み取ることができます。設定データ、APIキー、認証情報などの機密ファイルが公開される可能性があり、システム全体の侵害につながる可能性があります。

この脆弱性はCWE-88（引数インジェクション）として分類され、システムレベルの操作に渡されるコマンドライン引数の不適切な処理を示しています。

XMLノードのパッチバイパス

3番目の脆弱性であるCVE-2026-44791は、XMLノードのパッチバイパスに関連しています。研究者は、既知のプロトタイプ汚染の問題に対する以前の修正を回避できることを発見しました。

これは、攻撃者がXML処理ロジックを引き続き悪用してオブジェクトプロトタイプを操作できることを意味します。他の脆弱性と組み合わせると、この欠陥もリモートコード実行につながる可能性があります。

3つすべての脆弱性は、CVSSスコアを伴う重大度レーティングを持ち、機密性、完全性、可用性全体に高い影響を反映しています。攻撃ベクトルはネットワークベースで、低い権限が必要であり、ユーザーの相互作用は必要ありません。

簡単に言えば、ワークフロー作成への基本的なアクセス権を持つ攻撃者は、n8nインスタンス全体を制御できます。

対応と修正

n8nは報告されたすべての問題に対応するパッチをリリースしています。ユーザーは以下にすぐにアップグレードすることを強くお勧めします。

• バージョン1.123.43以降
• バージョン2.20.7以降
• バージョン2.22.1以降

• ワークフローの作成と編集権限を信頼できるユーザーのみに制限する
• NODES_EXCLUDE環境変数を使用してHTTPリクエスト、Git、XMLなどの脆弱なノードをオフにする

ただし、これらの回避方法は完全にリスクを排除するわけではありません。

DevOpsチームが使用する共有自動化環境を考えてみてください。低い権限を持つユーザーアカウントが侵害された場合、攻撃者はこれらの欠陥を悪用して悪意のあるワークフローを作成できます。数分以内に、彼らは秘密を抽出し、プロセスを修正し、明白なアラートをトリガーすることなくサーバ上でコマンドを直接実行できます。

ワークフロー自動化プラットフォームが人気を高め続けるにつれて、これらの調査結果は、システム全体の侵害を防ぐために厳密なアクセス制御と迅速なパッチ管理の重要性を強調しています。