「n8n」に深刻なRCE脆弱性 - 2025年11月の更新で修正済み

ワークフロー実行ツール「n8n」にリモートよりコードを実行されるおそれがある脆弱性が明らかとなった。現地時間2025年11月下旬にリリースされたアップデートで修正済みだという。

現地時間2026年1月6日にセキュリティアドバイザリを公開し、認証されたユーザーにより特定条件下で任意のコードを実行されるおそれがある脆弱性「CVE-2026-21877」について明らかにしたもの。

同脆弱性は無制限にファイルをアップロードできることに起因。リモートよりインスタンスを乗っ取られるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.9」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同脆弱性は、現地時間2025年11月26日にリリースされた「同1.121.3」にて解消済みだという。アップデートが難しい場合は、暫定的に「Git」ノードの無効化や、信頼できないユーザーのアクセスを制限するなどリスクを低減するよう呼びかけている。

「n8n」については、前月にも「クリティカル（Critical）」とされる脆弱性「CVE-2025-65964」「CVE-2025-68613」「CVE-2025-68668」が明らかとなっている。

（Security NEXT - 2026/01/07 ）ツイート