n8nはオープンソースのワークフロー自動化プラットフォームです。バージョン0.150.0から2.2.2未満の間に、Stripe Triggerノードに認証回避の脆弱性が存在していました。この脆弱性により、認証されていない第三者が偽造されたStripeウェブフックイベントを送信してワークフローをトリガーできました。Stripe Triggerはウェブフックエンドポイント登録時にStripeウェブフック署名シークレットを生成・保存しますが、受信したウェブフックリクエストはこのシークレットに対して検証されていませんでした。結果として、ウェブフックURLを知る任意のHTTPクライアントが対応するイベントタイプを含むPOSTリクエストを送信でき、まるで正当なStripeイベントを受信したかのようにワークフローが実行されました。この問題はStripe Triggerノードを使用したアクティブなワークフローを持つn8nユーザーに影響を与えます。攻撃者は支払いまたはサブスクリプションイベントを偽造し、下流のワークフローの動作に影響を及ぼす可能性があります。実際のリスクは、ウェブフックURLに高エントロピーのUUIDが含まれているため低減されていますが、認証されたn8nユーザーでワークフローにアクセスできる者はこのウェブフックIDを閲覧可能です。この問題はバージョン2.2.2で修正されました。この問題に対する暫定的な回避策として、影響を受けるワークフローを無効化するか、Stripe Triggerノードを含むワークフローへのアクセスを信頼されたユーザーのみに制限することが推奨されます。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。