CVE-2026-25049

Escalade de privilèges dans n8n via des expressions malveillantes

Une vulnérabilité nommée CVE-2026-25049 affecte la plateforme open-source d’automatisation des flux de travail n8n. Elle permet à un utilisateur authentifié disposant des droits de création ou modification de flux de travail d’exécuter des commandes arbitraires sur le système hébergeant n8n. Le défaut provient d’un sandboxing incomplet des ressources de code dynamiquement gérées, particulièrement des expressions JavaScript côté serveur écrites par les utilisateurs dans les workflows.

Points Clés :

• Produit affecté : n8n (versions antérieures à 1.123.17 et 2.5.2).
• Type de vulnérabilité : Mauvais contrôle des ressources de code dynamiquement gérées (CWE-913).
• Impact potentiel : Compromission totale de l’instance n8n, vol d’identifiants et de fichiers de configuration, accès au système de fichiers et aux systèmes internes, pivot vers des comptes cloud connectés, détournement de flux de travail IA.

Vulnérabilités identifiées :

• CVE-2026-25049 : Escalade de privilèges via l’exécution de commandes système arbitraires par le biais d’expressions malveillantes dans les workflows.

Recommandations :

• Mettre à jour n8n vers les versions 1.123.17 ou 2.5.2 dès que possible.

Source