つみかさね

CVE-2026-42232

Critical(9.8)

CVE-2026-42232 — n8n XMLノード Prototype Pollution によるRCE

公開日: 2026-05-09データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
n8nn8n-io< 1.123.32 / < 2.17.4 / < 2.18.1

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1n8nのバージョンを確認する
  2. 2影響バージョンを使用している場合は修正版へアップデートする
  3. 3XMLノードを使用するワークフローを確認し、外部入力を受け付ける構成かチェックする
  4. 4アップデートが困難な場合はXMLノードを使用するワークフローを一時的に無効化する

影響対象

n8nを利用するワークフロー自動化環境

補足

  • -CVE-2026-42231（XML Webhook Body Parser）も同時に修正されています
CVEn8nPrototype PollutionRCEnpm

概要

n8nはオープンソースのワークフロー自動化プラットフォームで、様々なサービスを連携させる自動化ツールとしてnpmエコシステムで広く利用されています。

本脆弱性は、n8nのXMLノードにおけるPrototype Pollution問題です。XMLデータの解析処理において、攻撃者が細工したXMLペイロードを送信することでJavaScriptオブジェクトのプロトタイプを汚染し、最終的にサーバー上でリモートコード実行に至ります。

n8nがWebhookトリガーで外部入力を受け付ける構成の場合、認証なしで攻撃可能となるため特に危険です。同時にXML Webhook Body ParserのPrototype Pollution（CVE-2026-42231）も公開されており、XMLを扱うワークフローは複数の経路から攻撃される可能性があります。

CVSSベクトル

指標値
CVSSスコア9.8
深刻度Critical
CWECWE-1321 (Prototype Pollution)
攻撃元区分ネットワーク
攻撃条件の複雑さ低
必要な特権レベル不要

影響を受けるソフトウェア

製品ベンダー影響バージョン
n8nn8n-io< 1.123.32 / < 2.17.4 / < 2.18.1

修正バージョンと回避策

  • 修正バージョン: n8n 1.123.32 / 2.17.4 / 2.18.1 にアップデートしてください
  • 回避策: XMLノードを使用するワークフローを一時的に無効化し、外部からのWebhook入力にXMLを受け付けない設定にしてください
  • 確認方法: npm list n8n または n8n管理画面でバージョンを確認できます

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-42231n8n XML Webhook Body Parser Prototype Pollution RCECVSS 9.8

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-42232
GHSA:https://github.com/advisories/GHSA-hqr4-h3xv-9m3r
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。