CVE-2026-118646
Publiée le 2026-10-28 · Dernière modification le 2026-10-28
Les versions de n8n antérieures à 1.123.85, 2.43.5 et 2.44.1 sont concernées. Cet outil d'automatisation de flux de travail contient une faille dans la manière dont il gère les modèles de sélection de fichiers. Un attaquant peut utiliser un modèle « glob » spécifiquement conçu pour déclencher un retour en arrière exponentiel (exponential backtracking) dans le moteur d'expressions régulières, ce qui fige concrètement la boucle d'événements du système.
Un attaquant disposant d'un compte authentifié basique peut faire planter le service, rendant l'interface utilisateur, l'API et les webhooks totalement inopérants jusqu'au redémarrage du serveur. Cela affecte la disponibilité, mais ne compromet ni la confidentialité ni l'intégrité des données. L'attaque est facile à exécuter via le réseau, bien qu'elle nécessite des identifiants d'utilisateur valides pour créer et exécuter le flux de travail malveillant.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
n8n before 1.123.85, 2.43.5, and 2.44.1 contains a regular expression denial of service vulnerability that allows authenticated members to block the event loop via crafted glob patterns. Attackers who can create and run workflows can submit a wildcard-heavy File(s) Selector pattern causing exponential backtracking, making the UI, API, webhooks, and health checks unresponsive until restart.