JVNDB-2026-031450

n8nにおけるコードインジェクションの脆弱性

n8n のバージョン 2.31.5 未満および 2.32.1 未満には、式評価におけるサンドボックスエスケープの脆弱性があります。ワークフローの作成または変更権限を持つ認証済みユーザーは、アロー関数の本体を使って式を巧妙に作成することで、式のサンドボックスを回避し、n8n を実行しているホスト上でシステムコマンドを実行できます。この問題はバージョン 2.31.5 および 2.32.1 で修正されています。

n8n

• n8n 2.31.0 以上 2.31.5 未満
• n8n 2.32.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Expression sandbox escape via arrow-function bodies enabling command execution  Advisory  n8n-io/n8n  GitHub

VulnCheck

• VulnCheck : n8n before 2.32.1 Remote Code Execution via Expression Sandbox Escape  | Advisories | VulnCheck

1. コード・インジェクション(CWE-94) [その他]

1. CVE-2026-72765

1. National Vulnerability Database (NVD) : CVE-2026-72765

• [2026年09月02日]
    掲載