FICHE CVE

CVE-2026-42232

Publiée le 2026-05-04 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les instances auto-hébergées d'automatisation de flux n8n sont affectées si elles utilisent une version obsolète. Un utilisateur authentifié disposant des permissions nécessaires pour créer ou modifier des flux peut utiliser le nœud XML pour déclencher une pollution de prototype, ce qui peut mener à l'exécution complète de code à distance sur le serveur. Cette attaque est relativement facile à réaliser via le réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 4.09.4 CRITIQUE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-05-04

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Faible

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

n8n is an open source workflow automation platform. Prior to versions 1.123.32, 2.17.4, and 2.18.1, an authenticated user with permission to create or modify workflows could achieve global prototype pollution via the XML Node leading to RCE when combined with other nodes exploiting the prototype pollution. This issue has been patched in versions 1.123.32, 2.17.4, and 2.18.1.