CVE-2026-27495 in n8n
要約
〜によって VulDB • 2026年06月20日
n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン2.10.1、2.9.3、および1.123.22より前のバージョンでは、ワークフローの作成または変更権限を持つ認証済みユーザーが、JavaScript Task Runnerのサンドボックス内の脆弱性を悪用し、サンドボックスの境界外で任意のコードを実行することができました。内部Task Runner（デフォルトのランナーモード）を使用するインスタンスでは、これによりn8nホストの完全な侵害につながる可能性があります。外部Task Runnerを使用するインスタンスでは、攻撃者がTask Runner上で実行される他のタスクにアクセスしたり、影響を与えたりする可能性があります。Task Runnerは`N8N_RUNNERS_ENABLED=true`を使用して有効にする必要があります。この問題は、n8nバージョン2.10.1、2.9.3、および1.123.22で修正されています。ユーザーはこれらのバージョン以降にアップグレードして、脆弱性を修正してください。すぐにアップグレードできない場合は、管理者は以下の一時緩和策を検討してください。ワークフローの作成および編集権限を完全に信頼できるユーザーのみに制限し、および/または外部ランナーモード（`N8N_RUNNERS_MODE=external`）を使用して被害の拡大を制限します。これらの回避策はリスクを完全に解消するものではなく、短期的な緩和策としてのみ使用してください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.