原文

n8n-MCPは、AIアシスタントにn8nノードのドキュメント、プロパティ、および操作へのアクセスを提供するMCPサーバーです。バージョン2.47.4から2.47.13までの間において、SDKの埋め込みパス（N8NDocumentationMCPServerコンストラクタ、getN8nApiClient()、およびvalidateInstanceContext()）、およびSSRFProtection.validateUrlSync()内の同期URLバリデータにはIPv6チェックがありませんでした。http://[::ffff:169.254.169.254]のようなIPv4マップドIPv6アドレスは、クラウドメタデータ、localhost、およびプライベートIPレンジの検査を回避しました。攻撃者がn8nApiUrlの値を指定できる場合、サーバーはクラウドメタデータエンドポイント、RFC1918プライベートネットワーク、またはlocalhostサービスにHTTPリクエストを発行させることが可能でした。レスポンスボディは呼び出し元に返され（非ブラインドSSRF）、n8nApiKeyはx-n8n-api-keyヘッダーで攻撃者が制御するターゲットに転送されます。N8NDocumentationMCPServerまたはN8NMCPEngineを使用し、ユーザー提供のInstanceContextを持つSDKとしてn8n-mcpを埋め込むプロジェクトが影響を受けます。ファーストパーティHTTPサーバーのデプロイメントは主に影響を受けません。これはIPv6アドレスを検知する2番目の非同期バリデータ（validateWebhookUrl）を備えているためです。この問題はバージョン2.47.14で修正されました。ユーザーがすぐにアップグレードできない場合の回避策としては、SDKに渡す前にURLを検証し、ネットワーク層でイーグレス制限を行い、ユーザーが制御するn8nApiUrl値を拒否することが推奨されます。