CVE-2026-77071 n8n PostgRESTフィルタ注入脆弱性に注意

この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。

公開日: 2026-08-20T12:16:38.353 / 更新日: 2026-08-20T12:16:38.353

n8nの特定バージョン以前で、SupabaseノードのRow Get Many、Delete、Update操作にPostgRESTフィルタ注入脆弱性が存在します。攻撃者は条件を注入し、1行の操作を全テーブルのデータ取得や削除、変更に悪用できる可能性があります。Linuxサーバー運用者は、n8nが該当バージョンを実行しているかを確認し、公式から提供される修正プログラムの適用を検討してください。影響範囲はPostgREST経由でデータベース操作を行う環境に限定されますが、フィルタ処理の不適切な構築が原因となるため、設定項目の再確認も重要です。脆弱性の詳細はNVDのリンクを参照してください。

参照情報

ソクラテスの問い、プラトンの備え

ソクラテス

プラトンよ、この脆弱性は私たちのシステムにおける「信頼」の概念にどのような問いを投げかけていますか?フィルタ処理の不適切な構築が、意図しないデータ操作を許容するという点に注目してみましょう。

プラトン

ソクラテス、それは確かに哲学的です。しかし、現実の運用者として、私はまず「n8nが該当バージョンを実行しているか」を確認する必要があります。Linuxサーバーでn8nが動いており、かつPostgREST経由でデータベース操作を行っている環境であれば、影響範囲に該当する可能性があります。公式の修正プログラム適用は、この段階で検討すべきでしょう。

ソクラテス

では、フィルタ注入のリスクを回避するためには、配置された「bind」パラメータが適切にエスケープされているかを確認する必要がありますか?

プラトン

はい。設定項目の再確認が重要です。例えば、PostgRESTのクエリ構築に使われるパラメータが、ユーザー入力に対して不適切に処理されていないかをチェックする必要があります。また、この脆弱性が修正されたバージョンにアップグレードする際、変更管理のプロセスに従ってテスト環境での確認を実施しましょう。

ソクラテス

そのプロセスが欠如した場合、フィルタ注入によって「1行の操作」が「全テーブルのデータ取得」に変質するというリスクが生じます。これは、運用の「最小限の権限」原則に反する現象ですね。

プラトン

まさにその通りです。監視にも注意が必要です。例えば、PostgREST経由の異常なクエリが発生した場合、ログを監視して異常を早期に検出する仕組みを構築するべきです。また、ベンダー(n8nの公式情報)が提供する修正プログラムの適用は、公式サイトやNVDのリンクを参照して慎重に行う必要があります。

ソクラテス

では、この脆弱性が示す「技術的信頼」の限界を、運用者はどのように捉えるべきでしょうか?

プラトン

技術的信頼は、常に「設定」や「パッチ適用」の責任とともに伴います。今回のケースでは、設定項目の再確認とパッチ適用が、信頼の維持に直結します。ユーモアを交えて言えば、この脆弱性は「エスケープせずに文字列を結合した結果」という、プログラマの日常的なミスが引き起こした問題かもしれません。しかし、そのミスに備えるための運用の責任は、私たちにあります。

関連キーワード: bind