リモートホストにインストールされている n8n Node.js パッケージのバージョンは、2.27.4 より前であるか、2.28.1 より前の2.28.xです。したがって、アカウント乗っ取りの脆弱性の影響を受けます。

  - N8N は、オープンソースのワークフロー自動化プラットフォームです。2.27.4以前および2.28.1より前の2.28.0から、複数の信頼できるトークン交換発行者で構成されたn8nインスタンスは、JWTサブクレームのみを使用して外部IDをローカルアカウントに解決し、ISSクレームを無視しました。これにより、1つの信頼できる発行者からの有効なトークンを持つ攻撃者と、別の発行者のサブで被害者と一致するサブを持つ攻撃者が、その被害者として認証される可能性があります。この問題はバージョン 2.27.4および 2.28.1で修正されています。(CVE-2026-59208)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

n8n Node.js パッケージ < 2.27.4 / 2.28.0 < 2.28.1 アカウント乗っ取り(CVE-2026-59208)

high Nessus プラグイン ID 330282

バージョン 1.1