CVE-2026-42231
Publiée le 2026-05-04 · Dernière modification le 2026-06-17
Les plateformes d'automatisation de flux de travail n8n sont affectées par une faille dans la manière dont les données XML sont traitées. Un utilisateur authentifié disposant des permissions nécessaires pour créer ou modifier des flux de travail peut envoyer une charge utile XML spécialement conçue à un webhook pour faire planter le système ou exécuter du code arbitraire sur le serveur hôte. Cette attaque peut être réalisée à distance via le réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
n8n is an open source workflow automation platform. Prior to versions 1.123.32, 2.17.4, and 2.18.1, a flaw in the xml2js library used to parse XML request bodies in n8n's webhook handler allowed prototype pollution via a crafted XML payload. An authenticated user with permission to create or modify workflows could exploit this to pollute the JavaScript object prototype and, by chaining the pollution with the Git node's SSH operations, achieve remote code execution on the n8n host. This issue has been patched in versions 1.123.32, 2.17.4, and 2.18.1.