原文

n8n のバージョン 1.123.67 未満、2.31.5 および 2.32.1 では、ノードの最上位の資格情報に対してのみ資格情報アクセスを検証し、Execute Sub-workflow ノードのインラインワークフロージェイソン内で参照される資格情報については検証を行いません。ワークフロー共有が有効な場合、共有ワークフローに対してエディターアクセス権を持つメンバーがターゲット資格情報のIDを知っていると、その資格情報をインラインJSON内で参照できます。そのため、保存時および実行時の検証を通過し、親ワークフローのプロジェクトコンテキストで解決されます。これにより、攻撃者はアクセス許可のない資格情報を使用したり持ち出したりすることが可能になります。