CVE-2026-77070 in n8n
要約
〜によって VulDB • 2026年08月21日
1.123.69、2.33.4、および 2.34.1 より前の n8n には、MongoDB ノードの Find、Delete、Aggregate オペレーションにおける NoSQL インジェクション脆弱性が存在します。これらのオペレーションは、式解決後に Query パラメータを JSON として解析しますが、MongoDB の演算子をサニタイズしません。解決されたクエリ（例：外部で制御されるデータ経由）に影響を与えることができる攻撃者は、$ne や $where などの演算子をインジェクトし、意図した単一ドキュメントの検索を全コレクションの開示や削除、またはデータベースサーバー上での他の操作に変えることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.