「n8n」に深刻なRCE脆弱性 - 乗っ取りや情報漏洩など広く影響

ワークフロー実行ツール「n8n」に深刻な脆弱性が判明した。リモートよりコードを実行されたり、ワークフローの改ざん、情報漏洩など大きな影響を受けるおそれがある。

リモートより任意のコード実行が可能となる脆弱性「CVE-2025-68613」が明らかとなったもの。同ソフトウェアについては2025年12月にリモートよりコードの実行が可能となる「CVE-2025-65964」が報告されているが、異なる脆弱性であり注意が必要。

「CVE-2025-68613」は、ワークフローにおける式評価システムに存在。ワークフローの設定が行えるユーザーによって、同ソフトウェアの権限による任意のコードを実行でき、インスタンスを乗っ取ることが可能となる。

さらに機密データの窃取、ワークフローの改ざんといった影響もあり、CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」と評価。重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームでは「同1.122.0」「同1.121.1」「同1.120.4」にて脆弱性を解消。また「同1.122.0」では式の評価を制限する追加の対策が導入されており、同バージョン以降を利用することを強く推奨している。

（Security NEXT - 2025/12/23 ）ツイート