CVE-2026-21858
Mis à jour :
Ni8mare : Exploitation de la plateforme n8n via une confusion de type de contenu
Une faille critique, nommée “Ni8mare” par Cyera Research Labs, a été découverte dans la plateforme d’automatisation de workflows n8n. Cette vulnérabilité découle d’une mauvaise gestion du type de contenu dans la fonction formWebhook(), chargée de traiter les soumissions de formulaires.
Points Clés :
- Vulnérabilité : Confusion de type de contenu dans la fonction
formWebhook(). - Impact : Permet à un attaquant non authentifié de lire des fichiers arbitraires sur le serveur n8n et potentiellement d’exécuter des commandes arbitraires.
- Versions affectées : n8n jusqu’à la version 1.65.0 incluse.
- Correction : La version 1.121.0, publiée le 18 novembre 2025, corrige ce problème.
Vulnérabilités :
- CVE-2026-21858 : Permet une lecture de fichiers arbitraires (LFI) par confusion de type de contenu. Une analyse plus approfondie suggère qu’une exploitation complète peut mener à une exécution de code à distance (RCE) avec des privilèges root. Ceci inclut la lecture de fichiers sensibles (clés de chiffrement, base de données), la falsification de tokens JWT d’administrateur et le contournement de la sandbox d’injection d’expressions.
Recommandations :
- Mettre à jour la plateforme n8n vers la version 1.121.0 ou une version ultérieure.