n8n の 4 件: Chat Hub の制限ツール登録、Outlook／SharePoint の OData 注入、glob の ReDoS、SeaTable トークン混入（CVE-2026-118640 ほか、CVSS v3.1 5.4〜8.2）: 1.123.85・2.43.5・2.44.1 で修正

NVD は 2026-10-28 に、ワークフロー自動化ツール n8n の脆弱性 4 件（CVE-2026-118640・118641・118646・118647）を登録しました。いずれも VulnCheck（CNA）が評価した CVSS v3.1 は 5.4／7.5／6.5／8.2 で、修正版は 1.123.85、2.43.5、2.44.1 です。同じ修正リリースの別の脆弱性は、認証情報の権限回避（CVE-2026-118642 ほか）と Data Table の越境・Webhook の保存型 XSS など（CVE-2026-118649 ほか）を、それぞれ別記事で扱っています。

4 件の内容

CVE	何が起きるか	前提
CVE-2026-118640	Chat Hub で、チャット専用ロール（global:chatUser）の利用者が、本来は制限されたツールの種類を登録できる。サンドボックス内のコード実行、許可されたファイルへのアクセス、インスタンスのワークフロー・Data Table・エージェントの利用につながる（CWE-863）	認証済みのチャット専用ユーザー
CVE-2026-118641	Microsoft Outlook の連絡先検索と、Microsoft SharePoint（v1）の項目更新ノードが、式で指定できるパラメータから OData の $filter 文字列を組み立てる際にエスケープしない。単一引用符を差し込まれると、紐づくメールボックスの連絡先一覧の取得や、保存済み認証情報の範囲内で意図しない一覧項目への書き込みが起こりうる（CWE-943）	該当ノードを使うワークフローに、信頼できない入力が渡ること
CVE-2026-118646	File(s) Selector の glob パターンに、ワイルドカードを多用した文字列を与えると、正規表現の指数的なバックトラックでイベントループが止まり、UI・API・Webhook・ヘルスチェックが再起動まで応答しなくなる（CWE-1333）	ワークフローを作成して実行できる認証済みメンバー
CVE-2026-118647	SeaTable Trigger ノードのポーリングが失敗した際に、生のリクエストヘッダーが実行データに保存され、API トークンが残る。実行履歴を見られるが認証情報は読めない利用者が、トークンを取り出して連携先の SeaTable ベースにアクセスできる（CWE-532）	実行履歴の閲覧権限がある認証済みユーザー

• 118640 と 118647 は、n8n の権限モデルで「見せない」はずの機能や値が、別の経路で見える・使えるようになる点が共通です。118641 は連携先サービスの範囲まで影響が及びます（CVSS の S:C）。118646 は可用性への影響だけです。
• 影響版は 4 件とも 1.123.85 未満、2.43.5 未満、2.44.x の 2.44.1 未満です（NVD の記述による）。
• 実際の攻撃での悪用は確認していません。KEV にも載っていません。

修正の状況

• 修正版は 1.123.85、2.43.5、2.44.1 です。
• 2026-11-02 時点で、GitHub の n8n リリースには 2.45.7、2.46.3、1.123.91（いずれも 2026-10-30）があり、修正版より新しい番号です。これらに修正が含まれることは版の順序からの推定です。
• 暫定的な回避策は確認できていません。

数値と出典（2026-11-02 時点）

項目	CVE-2026-118640	CVE-2026-118641	CVE-2026-118646	CVE-2026-118647
CVSS v3.1（VulnCheck＝CNA）	5.4	7.5	6.5	8.2
ベクター	AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N	AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N	AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H	AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:N
CVSS v4.0（同）	5.3	6.9	7.1	5.3
NVD の状態	Deferred	Deferred	Deferred	Deferred
EPSS	0.00189	0.00296	0.00249	0.00256
EPSS パーセンタイル	0.09	0.22	0.16	0.17
KEV	掲載なし	掲載なし	掲載なし	掲載なし

EPSS は FIRST の 2026-11-01 付、KEV は CISA カタログ（2026-11-02 取得）です。NVD 自身の評価は付いておらず、CVSS はすべて CNA の値です。

severity を high とした理由

最大の CVSS v3.1 は 8.2（118647）、次が 7.5（118641）で、High の範囲に入ります。一方で、4 件のうち 3 件は認証が必要で、118641 も信頼できない入力が該当ノードに渡る構成が前提です（AC:H）。EPSS は 0.2〜0.3% と低く、KEV にもありません。critical にする根拠はないため、high としました。118640 と 118646 は単独では medium 相当（5.4・6.5）です。

対応として考えられること

1. n8n の版を確認します。1.x は 1.123.85 未満、2.x は 2.43.5 未満（2.44.x は 2.44.1 未満）なら対象です。
2. 対象なら 1.123.85、2.43.5、2.44.1 以降へ更新します（推定: 最新の安定版を選ぶのが無難）。
3. 更新までの間、チャット専用ロールの付与、ワークフローの作成・実行権限、実行履歴の閲覧権限を最小限にします（推定）。
4. Outlook の連絡先検索や SharePoint の項目更新ノードに、Webhook やフォームなど外部入力を式で渡しているワークフローがないか確認します（推定）。
5. SeaTable Trigger を使っていた環境では、実行履歴にエラーが残っていれば閲覧者を確認し、必要なら SeaTable の API トークンの入れ替えを検討します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 暫定的な回避策は確認できていません。
• NVD 独自の評価（CVSS の再評価）はまだありません。
• 1.123.x、2.45.x、2.46.x の各最新版に修正が含まれることは、版の順序からの推定で、個別には確認していません。
• 各 CVE の GitHub Security Advisory 上の影響版の記載は、今回は個別に突き合わせていません。