JVNDB-2026-031452

n8nにおけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性

n8nのバージョン1.123.67より前、2.31.5、および2.32.1には、Edit Fields（Set）ノードにプロトタイプ汚染の脆弱性があります。このノードは、フィールド名の制限なしにドット表記のパスセッターを通じて出力フィールドを割り当てるため、認証されたユーザーが継承された組み込みメソッドのパス名をフィールド名として設定し、メインのNode.jsプロセスの共有グローバルを破損させることが可能です。そのグローバルはリクエスト認証経路で使用されているため、その結果インスタンスはすべての認証済みリクエストを失敗させ、そのプロセスを再起動するまで全ユーザーに対してインスタンス全体のサービス拒否を引き起こします。

n8n

• n8n 1.123.67 未満
• n8n 2.31.0 以上 2.31.5 未満
• n8n 2.32.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Prototype Pollution via Dot-Notation Field Names Leads To Instance-Wide Denial of Service  Advisory  n8n-io/n8n  GitHub

VulnCheck

• VulnCheck : n8n before 1.123.67 Prototype Pollution via Edit Fields  | Advisories | VulnCheck

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]

1. CVE-2026-72749

1. National Vulnerability Database (NVD) : CVE-2026-72749

• [2026年09月02日]
    掲載