JVNDB-2026-001600

n8nにおけるスプーフィングによる認証回避に関する脆弱性

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン0.150.0から2.2.2未満の間に、Stripe Triggerノードに認証回避の脆弱性が存在していました。この脆弱性により、認証されていない第三者が偽造されたStripeウェブフックイベントを送信してワークフローをトリガーできました。Stripe Triggerはウェブフックエンドポイント登録時にStripeウェブフック署名シークレットを生成・保存しますが、受信したウェブフックリクエストはこのシークレットに対して検証されていませんでした。結果として、ウェブフックURLを知る任意のHTTPクライアントが対応するイベントタイプを含むPOSTリクエストを送信でき、まるで正当なStripeイベントを受信したかのようにワークフローが実行されました。この問題はStripe Triggerノードを使用したアクティブなワークフローを持つn8nユーザーに影響を与えます。攻撃者は支払いまたはサブスクリプションイベントを偽造し、下流のワークフローの動作に影響を及ぼす可能性があります。実際のリスクは、ウェブフックURLに高エントロピーのUUIDが含まれているため低減されていますが、認証されたn8nユーザーでワークフローにアクセスできる者はこのウェブフックIDを閲覧可能です。この問題はバージョン2.2.2で修正されました。この問題に対する暫定的な回避策として、影響を受けるワークフローを無効化するか、Stripe Triggerノードを含むワークフローへのアクセスを信頼されたユーザーのみに制限することが推奨されます。

n8n

• n8n 0.150.0 以上 2.2.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Missing Stripe-Signature Verification Allows Unauthenticated Forged Webhooks  Advisory  n8n-io/n8n  GitHub

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2026-21894

1. National Vulnerability Database (NVD) : CVE-2026-21894
2. 関連文書 : fix(Stripe Trigger Node): Add Stripe signature verification by ShireenMissi  Pull Request #22764  n8n-io/n8n  GitHub
3. 関連文書 : fix(Stripe Trigger Node): Add Stripe signature verification (#22764)  n8n-io/n8n@a61a599  GitHub

• [2026年01月22日]
    掲載