CVE-2026-118643
Publiée le 2026-10-28 · Dernière modification le 2026-10-28
Les versions de n8n antérieures à 1.123.85, 2.43.5 et 2.44.1 sont concernées. Cet outil d'automatisation de flux de travail ne parvient pas à supprimer les secrets sensibles des journaux d'erreurs lorsque des opérations dans les nœuds Git, MongoDB Atlas Vector Store ou Google Cloud Storage échouent. Par conséquent, des jetons d'identification ou des mots de passe sont enregistrés en texte clair dans les données d'exécution.
Un attaquant disposant d'un accès au compte de bas niveau peut consulter ces journaux d'exécution pour dérober des identifiants qu'il n'est normalement pas autorisé à voir. Cela compromet la confidentialité et l'intégrité de vos services externes, car l'attaquant peut ensuite pivoter vers vos comptes Git, MongoDB ou Google Cloud. L'exploitation est simple, mais nécessite que l'attaquant possède déjà un compte utilisateur authentifié et qu'une défaillance spécifique d'un nœud soit survenue.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
n8n before 1.123.85, 2.x before 2.43.5, and 2.44.x before 2.44.1 stores credential secrets in execution error data when operations fail in the Git, MongoDB Atlas Vector Store, and Google Cloud Storage nodes. Users who can view a workflow's executions but cannot read the credential can recover Git passwords or tokens, MongoDB database passwords, or Google access tokens from that data.