FICHE CVE

CVE-2026-25049

Publiée le 2026-02-04 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations d'automatisation de flux n8n antérieures aux versions 1.123.17 et 2.5.2 sont concernées. Un attaquant disposant d'un compte avec des privilèges restreints et de l'autorisation de créer ou de modifier des flux peut utiliser des expressions spécialement conçues pour exécuter des commandes système arbitraires sur le serveur hôte. Cette attaque est facile à réaliser via le réseau et nécessite une authentification, mais aucune autre interaction de l'utilisateur n'est requise.

CVSS 4.09.4 CRITIQUE

Type de faiblesse

CWE-913

Publiée2026-02-04

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

n8n is an open source workflow automation platform. Prior to versions 1.123.17 and 2.5.2, an authenticated user with permission to create or modify workflows could abuse crafted expressions in workflow parameters to trigger unintended system command execution on the host running n8n. This issue has been patched in versions 1.123.17 and 2.5.2.