JVNDB-2026-009235

n8nにおけるユーザ制御の鍵による認証回避に関する脆弱性

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.5.0以前では、ソースコントロール機能がSSHを使用するように設定されている場合、git操作に使用されるSSHコマンドがホストキーの検証を明示的に無効にしていました。n8nインスタンスとリモートGitサーバーの間に位置するネットワーク攻撃者は、この接続を傍受して不正なホストキーを提示し、ワークフローに悪意のあるコンテンツを注入したりリポジトリデータを傍受したりする可能性があります。この問題は、ソースコントロール機能が明示的に有効化され、SSH（デフォルトではない）を使用するように設定されているインスタンスにのみ影響します。この問題はn8nバージョン2.5.0で修正されており、ユーザーはこのバージョン以降にアップグレードして脆弱性を解消すべきです。すぐにアップグレードできない場合、管理者は以下の一時的な緩和策を検討すべきです。ソースコントロール機能が積極的に必要ない場合は無効化し、またはn8nインスタンスがGitサーバーと信頼された制御されたネットワーク経路のみで通信するようにネットワークアクセスを制限してください。これらの回避策はリスクを完全に解消するものではなく、あくまで短期的な緩和策としてのみ使用すべきです。

n8n

• n8n 2.5.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : MITM Vulnerability for Source Control with SSH  Advisory  n8n-io/n8n  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-33724

1. National Vulnerability Database (NVD) : CVE-2026-33724

• [2026年03月31日]
    掲載