JVNDB-2026-002853

n8nにおけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.18および2.5.0より前のバージョンにはファイルアクセス制御に脆弱性が存在し、ワークフローの作成または変更権限を持つ認証ユーザーがn8nホストシステムから機密ファイルを読み取ることができました。これを悪用すると、重要な構成データやユーザー資格情報を取得でき、インスタンス上の任意のユーザーアカウントを完全に乗っ取ることが可能になります。この問題はバージョン1.123.18および2.5.0で修正されています。

n8n

• n8n 1.123.18 未満
• n8n 2.0.0 以上 2.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Advisory Database : Improper File Access Controls Allow Arbitrary File Read by Authenticated Users  Advisory  n8n-io/n8n  GitHub

1. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]
2. その他(CWE-Other) [NVD評価]

1. CVE-2026-25052

1. National Vulnerability Database (NVD) : CVE-2026-25052

• [2026年02月10日]
    掲載