JVNDB-2026-014656

n8nにおけるユーザ制御の鍵による認証回避に関する脆弱性

n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン1.123.32、2.17.4、および2.18.1より前のバージョンでは、有効なAPIキーで認証されたユーザーがvariable:listスコープを持っている場合、任意のprojectIdクエリパラメータを公開APIのvariablesエンドポイントに渡すことで、自分がメンバーでないプロジェクトの変数を読み取ることができました。ハンドラーは、社内エンタープライズコントローラーで使用される認可を考慮したサービス層をバイパスし、プロジェクトメンバーシップのチェックを行わずに直接変数リポジトリをクエリしていました。変数が資格情報やトークンなどの機密情報を保存するために誤用されていた場合は、直ちにそれらをローテーションする必要があります。この問題は、複数のプロジェクトを持ち変数機能が有効になっているライセンスされたエンタープライズまたはチームの展開にのみ影響します。この問題はバージョン1.123.32、2.17.4、および2.18.1で修正されています。

n8n

• n8n 1.123.32 未満
• n8n 2.17.0 以上 2.17.4 未満
• n8n 2.18.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Public API Variables IDOR Allows Cross-Project Secret Disclosure  Advisory  n8n-io/n8n  GitHub

1. ユーザ制御の鍵による認証回避(CWE-639) [その他]

1. CVE-2026-42227

1. National Vulnerability Database (NVD) : CVE-2026-42227

• [2026年05月08日]
    掲載