FICHE CVE

CVE-2026-44790

Publiée le 2026-06-23 · Dernière modification le 2026-06-24

🇫🇷 EN BREF

Les serveurs d'automatisation de flux n8n sont concernés s'ils utilisent une version obsolète. Un attaquant disposant d'un compte et des permissions nécessaires pour modifier les flux peut injecter des drapeaux de ligne de commande dans le nœud Git pour lire n'importe quel fichier sur le serveur hôte, ce qui pourrait conduire à une prise de contrôle totale du système. Cette attaque est réalisée via le réseau et ne nécessite qu'une authentification de bas niveau, sans aucune autre interaction de l'utilisateur.

CVSS 4.09.4 CRITIQUE

Type de faiblesse

CWE-88

Publiée2026-06-23

Dernière modification2026-06-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

n8n is an open source workflow automation platform. Prior to 1.123.43, 2.22.1, and 2.20.7, an authenticated user with permission to create or modify workflows could inject CLI flags on the Git node's Push operation allowing an attacker to read arbitrary files from the n8n server potentially leading to full compromise. This vulnerability is fixed in 1.123.43, 2.22.1, and 2.20.7.