最大重度度の「Ni8mare」バグによりハッカーがn8nサーバーをハイジャック可能に

セキュリティ専門家は、人気のあるAIワークフロー自動化プラットフォームn8nの重大な新しい脆弱性について警告を発しており、これにより攻撃者はローカルにデプロイされたインスタンスを乗っ取り、エンタープライズシークレットを危険にさらす可能性があります。

Cyeraは「Ni8mare」脆弱性（CVE-2026-21858）をブログ記事で昨日明らかにしました。CVSSスコアは10.0で、リモートの未認証ハッカーが潜在的に深刻な結果をもたらす可能性のあるバグを悪用できることを反映しています。

n8nプラットフォームはDocker pullが1億回以上あり、数百万のユーザーを持ち、10万台のサーバーが潜在的に危険にさらされている可能性があるとCyeraは述べています。

しかし、エンタープライズ自動化の取り組みで重要な役割を担っているため、Google Drive、Salesforce、OpenAI、CI/CDパイプライン、決済処理などに接続しており、侵害されたサーバーの影響範囲は「膨大」である可能性があるとベンダーは警告しています。

「1万人以上の従業員を持つ大規模企業が、誰もが使用するn8nサーバーを1台持っていることを想像してください。侵害されたn8nインスタンスは、単に1つのシステムを失うことを意味するのではなく、攻撃者にすべてへのアクセスキーを与えることを意味します」とCyeraは説明しています。

「APIの認証情報、OAuthトークン、データベース接続、クラウドストレージ – すべてが1つの場所に集中しています。N8nは単一障害点となり、脅威行為者にとって金の鉱山となります。」

最大重度度バグについて詳しく読む：ランサムウェア警告 CVSS 10.0 ScreenConnectバグが悪用される

Ni8mareには公式の回避策がなく、ユーザーはバージョン1.121.0以降にアップグレードして修復することを強く推奨されています。

公式勧告によると、この脆弱性により脅威行為者は特定のフォームベースのワークフローを実行して影響を受けるサーバー上のファイルにアクセスできます。

「脆弱なワークフローは未認証のリモート攻撃者にアクセスを付与する可能性があり、システムに保存されている機密情報の公開につながり、デプロイメント構成とワークフロー使用法によっては、さらなる侵害を可能にする可能性があります」と注記しています。

動作方法

この脆弱性はn8nでワークフローを開始するウェブフックに関連しています。プラットフォームはウェブフック内の「content-type」ヘッダーに基づいて受信データを解析します。

リクエストが「multipart/form-data」の場合、プラットフォームは特別なファイルアップロードパーサー（Formidable）を使用し、ファイルを一時的な場所に保存します。これはパストトラバーサル攻撃から保護するために行われます。ただし、他のすべてのコンテンツタイプでは、通常のパーサーが使用されます。

「重要なのはここです：ファイルアップロードパーサーはFormidableのparse()関数をラップしています」とCyeraは説明しています。

「通常のボディパーサーがreq.bodyを代入するのとは異なり、このパーサーはFormidableからの出力をreq.body.filesに代入します。」

脅威行為者がコンテンツタイプをapplication/jsonのような別のものに変更した場合、n8nミドルウェアは特別なファイルアップロードパーサーではなく、通常のパーサーを呼び出すでしょう。これはreq.body.filesが代入されないことを意味します。

したがって、n8nはリクエストに有効なファイルアップロードが含まれていることを確認せずに、ファイル関連のフィールドを処理することになり、攻撃者はファイルメタデータとファイルパスを制御することができます。

「ここが問題です：この関数はコンテンツタイプがmultipart/form-dataであることを確認せずに呼び出されるため、req.body.filesオブジェクト全体を制御できます。つまり、filepathパラメータを制御できるので、アップロードされたファイルをコピーする代わりに、システムから任意のローカルファイルをコピーできます」とCyeraは説明しています。

「結果として？Formノード後のノードはユーザーがアップロードしたものではなく、ローカルファイルのコンテンツを受け取ります。」

したがって、この脆弱性はn8nインスタンスから任意のファイルを読み取るために使用でき、シークレットを公開したり、ワークフローにファイルを注入したり、認証バイパスのためのセッションクッキーを偽造したり、任意のコード実行を達成したりするために使用できます。レポートは警告しています。

Cyeraはn8nのセキュリティチームに、11月9日に報告され9日後に修正された欠陥をパッチ適用するための迅速な対応に感謝しました。