Critical n8n Vulnerability (CVSS 10.0) Allows Unauthenticated Attackers to Take Full Control

Exploitation Critique de n8n : Contrôle Total d’une Instance sans Authentification

Une faille de sécurité critique, portant le code CVE-2026-21858 et évaluée à 10.0 sur l’échelle CVSS, a été découverte dans la plateforme d’automatisation de flux de travail n8n. Cette vulnérabilité, baptisée “Ni8mare”, permet à des attaquants non authentifiés d’obtenir un contrôle total sur les instances vulnérables. Découverte par le chercheur en sécurité Dor Attias, elle exploite une confusion dans le type de contenu (“Content-Type”) pour accéder à des fichiers sensibles, usurper l’accès administrateur et exécuter des commandes arbitraires sur le serveur.

Cette vulnérabilité touche toutes les versions de n8n jusqu’à la 1.65.0 incluse. Elle a été corrigée dans la version 1.121.0. La faille réside dans la manière dont n8n gère les webhooks et les téléversements de fichiers, notamment dans la fonction parseRequestBody() qui, mal vérifiée, peut permettre à un attaquant de manipuler l’objet req.body.files. Cela peut conduire à la lecture de fichiers locaux arbitraires, à l’extraction d’informations sensibles telles que les identifiants administrateurs et les clés de chiffrement, et potentiellement à l’exécution de commandes à distance.

Le système n8n, centralisant des informations cruciales comme des identifiants API, des jetons OAuth et des connexions de base de données, représente une cible de grande valeur pour les acteurs malveillants une fois compromis.

Points Clés :

• Vulnérabilité critique dans n8n, une plateforme d’automatisation de workflow.
• Permet un contrôle total de l’instance par des attaquants non authentifiés.
• Exploite une confusion de type de contenu (“Content-Type”) et une mauvaise gestion des téléversements de fichiers.
• Peut mener à la lecture de fichiers arbitraires, au détournement d’accès administrateur et à l’exécution de commandes à distance (RCE).
• Le compromis d’une instance n8n donne accès à une quantité massive d’informations sensibles centralisées.

Vulnérabilités et CVE :

• CVE-2026-21858 (CVSS 10.0) - “Ni8mare” : Permet à un attaquant non authentifié d’accéder à des fichiers sur le serveur sous-jacent via des workflows basés sur des formulaires.

Recommandations :

• Mettre à jour n8n vers la version 1.121.0 ou une version ultérieure.
• Éviter d’exposer n8n à Internet.
• Imposer l’authentification pour tous les formulaires.
• Comme mesures de contournement temporaires, restreindre ou désactiver les points de terminaison de webhook et de formulaire accessibles publiquement.

Source