JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031451 n8n のバージョン 1.123.67 未満、2.31.5 および 2.32.1 では、ノードの最上位の資格情報に対してのみ資格情報アクセスを検証し、Execute Sub-workflow ノードのインラインワークフロージェイソン内で参照される資格情報については検証を行いません。ワークフロー共有が有効な場合、共有ワークフローに対してエディターアクセス権を持つメンバーがターゲット資格情報のIDを知っていると、その資格情報をインラインJSON内で参照できます。そのため、保存時および実行時の検証を通過し、親ワークフローのプロジェクトコンテキストで解決されます。これにより、攻撃者はアクセス許可のない資格情報を使用したり持ち出したりすることが可能になります。 cpe:/a:n8n:n8n https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031451.html Common Vulnerabilities and Exposures (CVE) CVE-2026-72763 https://www.cve.org/CVERecord?id=CVE-2026-72763 National Vulnerability Database (NVD) CVE-2026-72763 https://nvd.nist.gov/vuln/detail/CVE-2026-72763 GitHub Shared-Workflow Editor Can Exfiltrate Credentials via Inline Sub-Workflow JSON Advisory n8n-io/n8n GitHub https://github.com/n8n-io/n8n/security/advisories/GHSA-cj9h-qx8g-pq2g JVNDB CWE-639 https://cwe.mitre.org/data/definitions/639.html VulnCheck n8n before 1.123.67 Credential Exfiltration via Sub-Workflow | Advisories | VulnCheck https://www.vulncheck.com/advisories/n8n-before-credential-exfiltration-via-sub-workflow 2026-09-02T14:48:21+09:00 2026-09-02T14:48:21+09:00