JVNDB-2026-023001

n8nにおけるSQL インジェクションの脆弱性

n8nのバージョン1.123.61より前、2.xの2.27.4より前、および2.28.xの2.28.1より前には、レガシーMySQL v1ノードのexecuteQuery操作にSQLインジェクションの脆弱性が存在します。この操作は、評価済みの{{ ... }}式の値をパラメータ化せずにそのまま生のSQL文字列に置換します。ワークフローがこの操作を式由来の値で使用し、外部から到達可能なトリガー（Webhookノードなど）に接続している場合、攻撃者が制御する入力がこれらの式に到達してSQLインジェクションを引き起こす可能性があります。これにより、設定されたMySQL認証情報の権限で任意のSQLを実行できるようになります。パラメータ化クエリを使用するMySQL v2ノードは影響を受けません。

n8n

• n8n 1.123.61 未満
• n8n 2.0.0 以上 2.27.4 未満
• n8n 2.28.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : MySQL v1 Node executeQuery Operation Allows SQL Injection via Unparameterized Expression Interpolation  Advisory  n8n-io/n8n  GitHub

VulnCheck

• VulnCheck : n8n - SQL Injection in MySQL v1 executeQuery Operation via Expression Interpolation  | Advisories | VulnCheck

1. SQLインジェクション(CWE-89) [その他]

1. CVE-2026-59257

1. National Vulnerability Database (NVD) : CVE-2026-59257

• [2026年07月10日]
    掲載