n8nのEnterprise版に不正ログインの脆弱性、外部認証の設定不備が原因
要点
- ワークフロー自動化ツール「n8n」のEnterprise版において、他者のアカウントにパスワードなしでログインできてしまう脆弱性「CVE-2026-59208」が判明した。
- 複数の外部認証発行元を信頼する設定の際、発行元情報を検証せず、ユーザーIDのみを照合して紐付けていたことが原因である。
- AIを用いたペネトレーションテスト（模擬攻撃による安全性検証）ツールによって発見され、すでに修正版がリリースされている。
- 影響を受けるのは、トークン交換機能を有効化し、かつ複数のトークン発行元を設定している特定の環境のみとなる。
リード文
ワークフロー自動化プラットフォーム「n8n」のEnterprise（企業向け）版において、パスワードを入力することなく別人のアカウントにログインできてしまう脆弱性が存在することが明らかになった。この脆弱性は「CVE-2026-59208」として識別されており、2026年7月9日に詳細が公開された。セキュリティ専門メディア「The Hacker News」が7月16日付で報じたところによると、開発元はすでに修正対応を完了しているという。
本文
トークン交換における紐付け処理の欠陥
問題の脆弱性は、n8nのEnterprise版において、OEM（相手先ブランドによる提供）パートナー向けに用意されている「トークン交換（Token Exchange）」機能に存在する。トークン交換とは、提携システム間で認証情報をやり取りし、ユーザーが複数回のログイン入力をする手間を省くための仕組みである。
この機能では、パートナー企業が署名したJWT（JSON Web Token：ウェブ上で安全にデータをやり取りするための標準的なフォーマット）を検証し、対応するローカルアカウントにログインさせる。
しかし、このアカウントの紐付け処理に設計上の問題があった。JWTには、トークンの発行元を示す「iss（発行元）」と、ユーザーを識別する「sub（サブジェクト）」という情報が含まれている。本来、異なる発行元でユーザーIDが重複する可能性があるため、正しい識別にはこれら二つの情報を組み合わせて検証しなければならない。
ところがn8nは、発行元（iss）を無視し、ユーザーID（sub）のみを基準にしてローカルアカウントと照合していた。このため、信頼された別の発行元から発行された有効なトークンであっても、ユーザーIDが別の発行元の管理下にあるユーザーのものと一致していれば、その他方のアカウントにログインできてしまう状態が生じていた。
AIによる検出と各機関の脆弱性評価
この脆弱性を報告したのは、AI技術を用いたペネトレーションテスト（模擬攻撃による安全性検証）エージェントを開発する「Strix」である。同社のAIエージェントがテスト中に認証紐付けの不備を検出したという。n8nはGitHubのアドバイザリで、発見者であるGitHubアカウント「bearsyankees」に謝意を表明している。
本脆弱性の評価は機関によって異なっている。CNA（CVE番号の採番と管理を行う組織）を務めたGitHubは、共通脆弱性評価システム「CVSS 4.0」で危険度を「7.6（高）」と判定した。一方、米国政府の脆弱性データベース「NVD」は、旧基準の「CVSS 3.1」に基づき「6.8（中）」と評価し、脆弱性タイプを「CWE-287（不適切な認証）」および「CWE-346（Origin検証の不備）」と分類している。
米サイバーセキュリティ・インフラセキュリティ庁（CISA）が公表したSSVC（脆弱性の優先度を評価するための意思決定モデル）評価では、実際の悪用状況は「なし（none）」とされており、7月16日時点での悪用報告や、PoC（脆弱性を実証するための検証用コード）の公開は確認されていない。
影響範囲と推奨される対策
本脆弱性の影響を受けるのは、n8nのバージョンが「2.27.4未満」および「2.28.0」の環境である。開発元は2026年6月24日に修正コードを適用しており、バージョン「2.27.4」および「2.28.1」以降で対策が完了している。7月16日時点でパッケージ管理ツールにおける最新版および安定版は「2.30.6」となっており、すでに修正版以降のアップデートが広く提供されている。
影響を受けるのは、トークン交換機能（環境変数 N8N_TOKEN_EXCHANGE_TRUSTED_KEYS を使用）を有効化し、かつ複数の外部トークン発行元を設定している環境に限定される。n8n側は、通常のインスタンスやその他の機能はこの脆弱性の影響を受けないと説明している。この機能自体が現在プレビュー段階であるため、実際に影響を受ける環境は一部のOEM展開などに限られるとみられる。
なお、本修正の約2週間前にも、認証済みのユーザーが他人のOAuth（外部のアプリケーション同士で安全に権限の認可を行うための標準規格）トークンを操作できる別の脆弱性「CVE-2026-54305」が修正されていた。