n8n には、Merge ノードの AlaSQL SQL モードに複数のリモートコード実行の脆弱性が存在します

この脆弱性は、認証されたn8nユーザーがMergeノードの「SQLによる結合」モードを悪用することで、AlaSQLサンドボックスの制限を回避し、サーバー上の機密ファイルにアクセスしたり、リモートコードを実行したりすることを可能にします。攻撃者は、SQLインジェクション攻撃を通じて、n8nホスト上で任意のコードを実行し、システムを完全に制御する可能性があります。この脆弱性の悪用により、機密データの漏洩、システムの改ざん、さらにはn8nインスタンス全体の侵害につながる可能性があります。類似のSQLインジェクション脆弱性は、他のデータベース統合システムでも問題となる可能性があります。

Organizations heavily reliant on n8n for workflow automation, particularly those with complex workflows involving data merging and SQL operations, are at significant risk. Shared hosting environments where multiple users have access to n8n instances are also vulnerable, as a compromised user could potentially exploit this vulnerability to impact other users on the same server.

• nodejs / server:

ps aux | grep n8n

• nodejs / server:

journalctl -u n8n -f | grep "AlaSQL sandbox"

• generic web:

curl -I http://your-n8n-instance/ | grep Server

1. 2026-03-25Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-03-25
3. 更新日2026-04-12
4. EPSS 更新日2026-04-02

この脆弱性への最も効果的な対応は、n8nをバージョン2.14.1、2.13.3、または1.123.27にアップグレードすることです。アップグレードが直ちに不可能である場合は、SQL結合モードの使用を制限する、またはワークフローのアクセス制御を強化するなどの代替策を検討してください。WAF（Web Application Firewall）を導入し、悪意のあるSQLクエリをブロックすることも有効です。アップグレード後、アラSQLサンドボックスの構成が正しく適用されていることを確認し、不要なSQL関数の使用を制限してください。また、n8nのログを監視し、異常なSQLクエリの実行を検出することも重要です。