- ひとことで自動化ツール n8n で、ワークフローの式から任意のコードを実行される弱点です。
- 深刻度8.8 重要CVSS v3.1
- まずやることn8nを1.122.0以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2025-68613 |
|---|---|
| 製品 | n8n n8n |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2026-03-11 |
| 米国政府機関の対応期限 | 2026-03-25 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-913 |
何が起きた
作業を自動化するツール n8n のワークフローの式（計算や加工のための書き方）を評価する仕組みに、式が十分に切り離されないまま実行される弱点が見つかり、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、一般利用者程度の権限を持つ（ログイン済みの）攻撃者が、利用者の操作なしに悪用できます。悪用されると、n8n の権限で任意のコードが実行され、データの盗み見やワークフローの書き換えなどにつながるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
n8n を使っている組織が影響を受けます。CVE の記録では、0.211.0 以降で 1.120.4 より前と、1.121.0 が対象です。n8n の勧告では、0.211.0 以降で 1.122.0 より前が対象とされています。
何をすればいい
n8n の公式の案内を確認し、修正版に更新してください。CVE の記録では修正版は 1.120.4、1.121.1、1.122.0 とされ、n8n の勧告では 1.122.0 以降への更新が強く勧められています。すぐ更新できない場合の一時的な対策として、ワークフローの作成と編集を信頼できる利用者だけに限ることや、OS の権限やネットワークを制限した環境で動かすことが挙げられています。ただし、これらは危険を完全には無くせません。
やることチェックリスト
- n8nを1.122.0以降に更新する
- ワークフローの編集を信頼できる人に限る
- n8nのOSの権限とネットワークを制限する
用語メモ
- ワークフロー
- 作業の手順を順番に並べて、自動で動くようにしたものです。
- ログイン済み
- ID とパスワードなどでサービスに入った状態のことです。
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
n8n Improper Control of Dynamically-Managed Code Resources Vulnerability
概要
n8n contains an improper control of dynamically managed code resources vulnerability in its workflow expression evaluation system that allows for remote code execution.
推奨対応
Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.
この元データの出どころ: CISA KEV カタログで見る