JVNDB-2026-009479

n8nにおける複数の脆弱性

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.14.1、2.13.3、および1.123.26より前のバージョンでは、認証済みユーザーでワークフローの作成または変更権限を持つ者が、Mergeノードの「Combine by SQL」モードを使用してn8nホスト上のローカルファイルを読み取り、リモートコード実行を行うことが可能でした。AlaSQLサンドボックスは特定のSQL文を十分に制限しておらず、攻撃者がサーバー上の機密ファイルにアクセスしたりインスタンスを侵害する可能性がありました。この問題はn8nのバージョン2.14.1、2.13.3、および1.123.26で修正されています。ユーザーはこれらのバージョン以降にアップグレードして脆弱性を修正しなければなりません。直ちにアップグレードできない場合、管理者は次の一時的な緩和策を検討すべきです：ワークフローの作成および編集権限を完全に信頼できるユーザーのみに制限し、またはMergeノードを無効化するために`NODES_EXCLUDE`環境変数に`n8n-nodes-base.merge`を追加してください。ただし、これらの回避策はリスクを完全に解消するものではなく、短期的な緩和措置としてのみ使用すべきです。

n8n

• n8n 1.123.27 未満
• n8n 2.0.0 以上 2.13.3 未満
• n8n 2.14.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : RCE via SQL Mode of Merge Node  Advisory  n8n-io/n8n  GitHub

1. SQLインジェクション(CWE-89) [NVD評価]
2. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-33660

1. National Vulnerability Database (NVD) : CVE-2026-33660

• [2026年04月01日]
    掲載