JVNDB-2026-004587

n8nにおけるEval インジェクションに関する脆弱性

n8nには、ワークフローの式評価システムにおいて重大なリモートコード実行（RCE）脆弱性があります。ワークフローの設定中に認証されたユーザーが提供する式は、基盤となるランタイムから十分に分離されていない実行コンテキストで評価される可能性があります。有資格の攻撃者はこの挙動を悪用して、n8nプロセスの権限で任意のコードを実行できます。成功した場合、影響を受けるインスタンスを完全に乗っ取る可能性があり、機密データへの不正アクセスやワークフローの改変、システムレベルでの操作の実行が含まれます。

n8n

• n8n 1.123.17 未満
• n8n 2.0.0 以上 2.4.5 未満
• n8n 2.5.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

JFrog Ltd.

• JFrog Security Research : n8n Expression Node RCE | JFSA-2026-001651697 - JFrog Security Research

1. Eval インジェクション(CWE-95) [その他]

1. CVE-2026-1470

1. National Vulnerability Database (NVD) : CVE-2026-1470
2. 関連文書 : Merge commit from fork  n8n-io/n8n@aa4d1e5  GitHub

• [2026年02月24日]
    掲載