CVE-2026-0863
Publiée le 2026-01-18 · Dernière modification le 2026-06-17
Les utilisateurs de n8n utilisant le « python-task-executor » sont affectés par une évasion de bac à sable (sandbox escape) qui permet l'exécution de code Python sans restriction sur le système hôte. Un utilisateur authentifié disposant de permissions de base peut exploiter cette faille via un bloc de Code pour potentiellement prendre le contrôle de l'intégralité de l'instance n8n, bien que l'impact soit limité à un conteneur sidecar si le mode d'exécution « External » est utilisé. Bien que l'attaque nécessite un accès réseau et un compte, elle est complexe à exécuter et ne requiert aucune interaction de la part d'une victime.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Using string formatting and exception handling, an attacker may bypass n8n's python-task-executor sandbox restrictions and run arbitrary unrestricted Python code in the underlying operating system. The vulnerability can be exploited via the Code block by an authenticated user with basic permissions and can lead to a full n8n instance takeover on instances operating under "Internal" execution mode. If the instance is operating under the "External" execution mode (ex. n8n's official Docker image) - arbitrary code execution occurs inside a Sidecar container and not the main node, which significantly reduces the vulnerability impact.