CVE-2026-27496 in n8n
要約
〜によって VulDB • 2026年07月02日
n8n はオープンソースのワークフロー自動化プラットフォームです。バージョン 1.123.22、2.9.3、および 2.10.1 より前の n8n では、ワークフローの作成または変更権限を持つ認証済みユーザーが JavaScript Task Runner を使用して未初期化メモリバッファを割り当てることができました。未初期化バッファには、同じ Node.js プロセスからの残留データ（以前の要求やタスク、シークレット、トークンなどのデータを含む）が含まれている可能性があり、プロセス内の機密データの情報が漏洩する原因となります。Task Runner は `N8N_RUNNERS_ENABLED=true` を使用して有効にする必要があります。外部ランナーモードでは、影響は外部ランナープロセス内のデータに限定されます。この問題は n8n バージョン 1.123.22、2.10.1、および 2.9.3 で修正されています。ユーザーはこのバージョン以降にアップグレードして脆弱性を解消してください。すぐにアップグレードできない場合は、管理者は以下の一時緩和策を検討すべきです：ワークフローの作成と編集権限を完全に信頼できるユーザーのみに制限する、および/または外部ランナーモード（`N8N_RUNNERS_MODE=external`）を使用してランナープロセスを分離すること。これらの回避策ではリスクが完全に解消されるわけではなく、短期的な緩和措置としてのみ使用してください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.