Alerte critique : deux défaillances n8n permettent l'exécution de code à distance et pourraient compromettre toute votre infrastructure

Les chercheurs en sécurité ont identifié deux défaillances graves dans la plate-forme d'automatisation du flux N8n qui permettent l'exécution de code à distance dans les cas vulnérables. Les faiblesses ont été détectées par l'équipe de recherche de JFrog et, selon l'évaluation publique, l'un d'eux atteint un score de sévérité presque maximum, de sorte que tout déploiement non effectué présente un risque élevé d'engagement.

Les problèmes signalés sont des vulnérabilités de type injection ovale, c'est-à-dire les vecteurs qui permettent d'interpréter et d'exécuter le code dynamique envoyé par un utilisateur authentifié par l'environnement n8n. Dans un cas, l'injection compromet le mécanisme utilisé par n8n pour évaluer les expressions JavaScript, dessiner les restrictions du bac à sable et permettre d'exécuter des commandes dans le contexte du processus principal. Dans l'autre, la faiblesse affecte le composant en charge de l'exécution des tâches en Python (python- task- exector), permettant l'exécution arbitraire des instructions Python sur le système sous-jacent.

Les deux défaillances ont été enregistrées dans le catalogue de vulnérabilité NIST avec les identifiants CVE-2026-1470(avec une évaluation très élevée) et CVE-2026-0863. JFrog publie une analyse technique détaillée expliquant comment l'évasion des bacs à sable pourrait être réalisée et l'exécution à distance; ce rapport est une lecture recommandée pour quiconque veut comprendre le vecteur d'attaque et la chaîne d'exploitation: Analyse JFrog.

L'impact potentiel est vaste car n8n est utilisé pour automatiser les tâches qui relient souvent les services critiques : des clés et API des modèles linguistiques aux systèmes commerciaux de gestion des données et de l'identité. Si un attaquant est capable d'exécuter du code dans l'instance n8n, il peut, dans la pratique, obtenir un accès transversal à ces ressources et références automatisées qui sont stockées ou que la plate-forme elle-même peut utiliser, ce qui multiplierait les conséquences de l'incident.

Un facteur important dans cette histoire est le mode d'exécution de n8n. La documentation officielle avertit que pour fonctionner dans mode interne (interne) pour les environnements de production n'offre pas le même degré d'isolement que de séparer n8n de l'exécuteur de tâches (mode externe). Lorsque les deux composants partagent des processus ou des permissions, une vulnérabilité qui parvient à s'échapper du bac à sable peut atteindre le nœud principal et, de là, jusqu'au reste de l'infrastructure. Vous pouvez voir l'explication n8n sur les paramètres de l'exécuteur dans votre documentation et la description du système d'expressions pages dédiées aux expressions.

Ces résultats rouvrent également le débat sur la difficulté de contenir des langages dynamiques tels que JavaScript et Python dans des environnements restreints. Les chercheurs soulignent que, même avec de multiples filtres et contrôles basés sur l'analyse syntaxique ou des listes d'interdiction, il y a toujours des constructions du langage ou du comportement de l'interprète qui peuvent être utilisés pour échapper aux défenses. En fait, il y a quelques semaines, une autre vulnérabilité à la gravité maximale dans n8n - connue sous le nom de Ni8mare et enregistrée sous CVE-2026-21858- montré à quel point il peut être facile pour un attaquant à distance d'obtenir le plein contrôle d'une instance, ce qui renforce l'urgence d'appliquer les corrections et les bonnes pratiques.

Compte tenu de cette situation, la recommandation immédiate est d'appliquer les versions qui corrigent les échecs. Pour les correctifs CVE-2026-1470 ont été publiés dans les branches indiquées par les responsables; les versions contenant la correction sont 1.123.17, 2.4.5 et 2.5.1. Pour CVE-2026-0863, les éditions corrigées sont 1.123.14, 2.3.5 et 2.4.2. La mise à jour de ces versions devrait être la première mesure d'atténuation.

En plus de la mise à jour, il convient de revoir l'architecture de déploiement : migrer vers des exécutions séparées entre le serveur n8n et les coureurs de tâches, restreindre l'accès administratif à la plateforme, faire pivoter les identifiants et les clés stockées par n8n et vérifier les dossiers à la recherche d'activités suspectes. Si l'on soupçonne qu'une instance a pu être compromise, il est sage de supposer que des secrets et des jetons peuvent être exposés et de procéder à leur révocation et à leur renouvellement.

Dans les secteurs où les chaînes d'orchestre N8n comprennent des services critiques ou des données sensibles, l'exposition d'une plate-forme d'automatisation est particulièrement dangereuse parce qu'elle permet des mouvements latéraux automatisés et l'accès à des ressources qui seraient normalement hors de portée d'un intrus. Par conséquent, en plus d'appliquer les correctifs, il est conseillé de revoir les politiques de sécurité, les pratiques de ségrégation d'emploi et les contrôles de privilèges minimums dans les intégrations qu'il relie n8n.

Si vous gérez des instances n8n, vérifiez les sources officielles pour vérifier les versions disponibles et les notes de sécurité. Le rapport technique de JFrog est disponible sur son blog de recherche ( JFrog Recherche) et les détails des identifiants publics peuvent être trouvés dans la base de données NVD ( CVE-2026-1470, CVE-2026-0863, CVE-2026-21858). Il est également utile d'examiner la documentation officielle n8n sur les expressions et les coureurs pour mieux comprendre les différences opérationnelles entre les modes et comment améliorer l'isolement: N8n expressions et Configuration des coureurs de tâches.

En bref, ces vulnérabilités soulignent que la complexité des langages interprétés et l'opportunité des plateformes d'automatisation exigent une gestion prudente des risques. Mettre à jour, isoler les processus et revoir les autorisations ne sont pas seulement des recommandations : dans ce contexte, ce sont des mesures essentielles pour empêcher un outil conçu pour faciliter le travail de devenir la passerelle d'une attaque contre l'ensemble de l'organisation.