対象CVE: CVE-2026-86076

[緊急解説] n8nの重大脆弱性 (GHSA-hw8v-xxg5-vvvx) がフロントエンドに与える影響と対策

自動化ツールn8nの式評価機能に深刻度Highの脆弱性が発見されました。悪意のあるワークフローによって、サーバー上のコード実行に加え、ユーザーのブラウザ上で不正なJavaScriptが実行される危険性があります。フロントエンドエンジニアはすぐに最新版へアップデートし、対策を講じる必要があります。

はじめに：n8nの重大脆弱性にご注意を

皆さん、こんにちは。今回は、自動化ツール「n8n」の式評価機能に発見された重大なセキュリティ脆弱性（ID: GHSA-hw8v-xxg5-vvvx / CVE: CVE-2026-86076）について解説します。この脆弱性は深刻度「High」と評価されており、バックエンドの不正コード実行だけでなく、私たちフロントエンドエンジニアにとって見過ごせない「ブラウザ上での不正なJavaScript実行」というリスクをはらんでいます。すぐに内容を確認し、適切な対策を講じましょう。

脆弱性の詳細：サンドボックスをすり抜ける巧妙な手口

この脆弱性は、n8nの「式評価機能」に存在します。n8nでは、ワークフロー内で特定の処理を動的に定義するために式（Expression）を利用できます。本来、これらの式はセキュリティが確保された「サンドボックス」環境で実行されるべきであり、外部からの不正なアクセスやコード実行を防ぐ仕組みが組み込まれています。

しかし、今回の脆弱性では、内部的な安全化処理が特定のクラスフィールド名 (`__sanitize`) によって意図せず乗っ取られてしまう問題が発覚しました。これにより、通常ではアクセスが制限されているJavaScriptの `Function` コンストラクタ（実行時にコードを動的に生成する機能）に不正にアクセスできてしまいます。結果として、サンドボックスの保護が完全に無効化され、攻撃者は任意のJavaScriptコードを実行できる状態になります。

フロントエンドエンジニアへの影響：ブラウザが乗っ取られる危険性

この脆弱性は、n8nサーバー上での任意のコード実行（RCE）を可能にするだけでなく、特にフロントエンドエンジニアの皆さんが注意すべき重要な側面があります。それは、**「悪意のある式を含むワークフローを他のユーザーが開くだけで、その開いた人のブラウザセッション上でJavaScriptコードが勝手に実行されてしまう可能性がある」**という点です。

これは、一般的なWebアプリケーションにおけるクロスサイトスクリプティング（XSS）攻撃と同様のメカニズムです。攻撃者は、以下のような悪質な活動を行う可能性があります。

<ul><li>セッション情報の窃取： ログイン中のユーザーのセッションクッキーやLocalStorageに保存された認証情報を盗み出し、セッションハイジャックを行う。</li><li>不正な操作： ユーザーの権限でAPIリクエストを偽造し、n8nインスタンスの設定変更、ワークフローの改ざん、データの削除など、望まない操作を実行する。</li><li>マルウェアの誘導： 不正なポップアップ表示やリダイレクトを通じて、マルウェアのダウンロードを促す。</li><li>フィッシング： 偽のログインフォームを表示させ、認証情報を窃取する。</li></ul>

n8nインスタンスにログインしているユーザーが悪意のあるワークフローを開くだけで、これらの攻撃に晒される危険性があるため、非常に深刻な問題と言えます。

今すぐ実施すべき対応策

この脆弱性に対する最も効果的かつ推奨される対応策は、**速やかにn8nを修正済みのバージョンにアップグレードすること**です。以下のバージョン、またはそれ以降のバージョンに更新してください。

<ul><li>バージョン1.123.76</li><li>バージョン2.37.7</li><li>バージョン2.38.2</li></ul>

アップグレードはセキュリティパッチが適用された最新の状態で運用するために不可欠です。本番環境への適用前には、必ず開発・ステージング環境で十分なテストを実施し、予期せぬ動作がないことを確認してください。

アップデートが難しい場合の一時的な回避策

直ちにアップグレードが困難な場合でも、リスクを軽減するための一時的な回避策を講じることが可能です。ただし、これらはあくまで暫定的な措置であり、根本的な解決ではないことに留意してください。

<ul><li>n8nインスタンスへのアクセス制限： n8nインスタンスへのアクセスを、完全に信頼できるユーザーのみに限定します。外部からのアクセスを最小限に抑えましょう。</li><li>ワークフローの作成・編集権限の制限： ワークフローの作成や編集が行えるユーザーを厳しく制限し、信頼できないユーザーにはこれらの権限を与えないようにします。</li><li>既存ワークフローの定期的な監査： 既存のワークフローを定期的にレビューし、ノードのパラメータに予期しない、または見慣れない式（特に複雑なJavaScriptコードのように見えるもの）が含まれていないか確認します。</li><li>環境変数 `N8N_EXPRESSION_ENGINE` を `vm` に設定： n8nの式評価エンジンを `vm` （サンドボックス化されたNode.js `vm` モジュール）に切り替えることで、脆弱な評価メカニズムを回避できる可能性があります。この設定変更が環境に与える影響を確認の上、適用してください。</li></ul>

まとめ

n8nの式評価脆弱性は、サーバーサイドだけでなく、クライアントサイド（ブラウザ）にも甚大な影響を及ぼす可能性があります。特にフロントエンドエンジニアの皆さんは、XSS攻撃と同様のリスクがあることを理解し、迅速な対応が求められます。最も推奨されるのは速やかなバージョンアップですが、それが難しい場合でも一時的な回避策を講じ、セキュリティリスクを最小限に抑えましょう。常に最新のセキュリティ情報をチェックし、安全な開発・運用を心がけてください。