n8nのセキュリティ脆弱性CVE-2025-46343修正、バージョン1.90.0リリースで対策強化

記事の要約

• n8nの添付ファイル表示エンドポイントに脆弱性CVE-2025-46343が発見された
• バージョン1.90.0未満で、保存型クロスサイトスクリプティング(XSS)の脆弱性があった
• 認証済み攻撃者が悪意のあるHTMLファイルをアップロードすることでアカウント乗っ取りが可能だった

n8nにおけるセキュリティ脆弱性CVE-2025-46343の修正

n8n-ioは、ワークフロー自動化プラットフォームn8nのセキュリティ脆弱性CVE-2025-46343を2025年4月29日に公開した。この脆弱性は、バージョン1.90.0未満のn8nに存在する保存型クロスサイトスクリプティング(XSS)である。

脆弱性により、認証済みの攻撃者が悪意のあるHTMLファイルをアップロードし、他のユーザーがそのファイルにアクセスすると、悪意のあるJavaScriptコードが実行される可能性があった。これにより、ユーザーのセッションコンテキストでスクリプトが実行され、アカウント乗っ取りなどの被害が発生する可能性があったのだ。

n8n-ioは、この脆弱性を修正したバージョン1.90.0をリリースした。ユーザーは速やかにバージョン1.90.0以降にアップデートすることで、この脆弱性から身を守ることができる。

この脆弱性は、添付ファイルのMIMEタイプを検証する仕組みが不十分だったことが原因である。攻撃者は、GETパラメータを操作することでMIMEタイプを偽装し、悪意のあるHTMLファイルをアップロードすることができたのだ。

脆弱性に関する詳細情報

クロスサイトスクリプティング(XSS)について

クロスサイトスクリプティング(XSS)とは、Webアプリケーションの脆弱性を悪用して、攻撃者が悪意のあるスクリプトをユーザーのブラウザに実行させる攻撃手法である。

• 攻撃者は、Webサイトに悪意のあるスクリプトを埋め込む
• ユーザーがそのWebサイトにアクセスすると、スクリプトが実行される
• スクリプトによって、ユーザーのセッション情報や個人情報が盗まれる可能性がある

XSS攻撃を防ぐためには、Webアプリケーションの入力値を適切にサニタイズする必要がある。また、コンテンツセキュリティポリシー(CSP)などを活用することで、XSS攻撃のリスクを軽減することができるのだ。

CVE-2025-46343に関する考察

n8nにおける今回の脆弱性修正は、迅速な対応がなされた点で評価できる。多くのユーザーが影響を受ける可能性のある脆弱性であったため、早期の修正と情報公開は重要であった。しかし、この脆弱性のような、MIMEタイプ検証の不備によるXSSは、他のWebアプリケーションでも発生する可能性がある。

今後、同様の脆弱性を防ぐためには、開発者はより厳格な入力検証と出力エンコーディングを行う必要があるだろう。また、定期的なセキュリティ監査と脆弱性スキャンの実施も不可欠である。開発者コミュニティ全体でのセキュリティ意識の向上も重要だ。

さらに、n8nのようなワークフロー自動化ツールは、企業の重要な業務プロセスに利用されることが多い。そのため、セキュリティ対策は、単なる脆弱性修正だけでなく、継続的なセキュリティ強化と、ユーザーへの適切な情報提供が求められる。

参考サイト/関連サイト