CVE-2025-68697 in n8n
要約
〜によって VulDB • 2026年05月30日
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.0.0より前では、Codeノードがレガシー（非タスクランナー）JavaScript実行モードで実行されるセルフホスト型n8nインスタンスにおいて、ワークフロー編集アクセス権を持つ認証済みユーザーは、Codeノード内から内部ヘルパー関数を呼び出すことができます。これにより、ワークフロー編集者は、n8nプロセスと同じ権限でn8nホスト上でアクションを実行できるようになります。これには、ホストファイルシステムからのファイル読み取り（インスタンスおよびOS/コンテナのパーミッションで設定されたファイルアクセス制限の対象となります）と、ホストファイルシステムへのファイル書き込み（同様の制限の対象となります）が含まれます。この問題はバージョン2.0.0で修正されています。この問題に対する回避策としては、N8N_RESTRICT_FILE_ACCESS_TOを専用ディレクトリ（例：~/.n8n-files）に設定してファイル操作を制限し、機密データが含まれていないことを確認し、N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true（デフォルト）を保持して.n8nおよびユーザー定義設定ファイルへのアクセスをブロックし、ワークフロー編集者が完全に信頼できない場合は、NODES_EXCLUDEを使用して高リスクノード（Codeノードを含む）を無効化することが挙げられます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.