JVNDB-2025-023701

 n8nにおける複数の脆弱性

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.0.0より前の自己ホスト型n8nインスタンスでは、Codeノードが従来型（非タスクランナ）JavaScript実行モードで動作している場合、認証されたワークフロー編集権限を持つユーザーがCodeノード内から内部ヘルパー関数を呼び出せます。その結果、ワークフローエディターはn8nプロセスと同じ権限でn8nホスト上の操作を実行でき、たとえばホストファイルシステムからファイルの読み取りや書き込みが可能です（インスタンスやOS／コンテナ権限で設定されたファイルアクセス制限に従います）。この脆弱性はバージョン2.0.0で修正されました。対策としては、N8N_RESTRICT_FILE_ACCESS_TOを専用ディレクトリ（例：~/.n8n-files）に設定し、そのディレクトリ内に機密データを含めないようにします。また、N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true（デフォルト）と設定することで.n8nやユーザー定義の設定ファイルへのアクセスを制限できます。さらに、ワークフローエディターを完全に信頼できない場合は、NODES_EXCLUDEで高リスクノード（Codeノードなど）を無効化することが推奨されます。

n8n

• n8n 2.0.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Legacy Code node enables file read/write in self-hosted n8n  Advisory  n8n-io/n8n  GitHub

1. 不適切な権限管理(CWE-269) [その他]
2. 危険なメソッドや機能の公開(CWE-749) [その他]
3. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2025-68697

1. National Vulnerability Database (NVD) : CVE-2025-68697

• [2026年01月06日]
    掲載