CVE-2026-44789
Publiée le 2026-06-23 · Dernière modification le 2026-10-26
Les installations d'automatisation de flux n8n sont concernées si elles utilisent une version antérieure à 1.123.43, 2.22.1 ou 2.20.7. Un attaquant disposant d'un compte utilisateur standard et de l'autorisation de créer ou de modifier des flux peut utiliser un paramètre de pagination malveillant dans le nœud « HTTP Request » pour faire planter le système ou potentiellement exécuter du code arbitraire sur le serveur. Cette attaque est relativement facile à réaliser via le réseau, bien qu'elle nécessite que l'attaquant soit authentifié.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
n8n is an open source workflow automation platform. Prior to 1.123.43, 2.22.1, and 2.20.7, an authenticated user with permission to create or modify workflows could achieve global prototype pollution via an unvalidated pagination parameter in the HTTP Request node. Combined with other techniques this could lead to RCE on the instance. This vulnerability is fixed in 1.123.43, 2.22.1, and 2.20.7.