FICHE CVE

CVE-2026-44791

Publiée le 2026-06-23 · Dernière modification le 2026-10-26

🇫🇷 EN BREF

Les installations d'automatisation de flux de travail n8n sont concernées si elles utilisent une version obsolète. Un utilisateur authentifié disposant de l'autorisation de créer ou de modifier des flux de travail peut contourner des correctifs de sécurité antérieurs pour exécuter du code arbitraire sur le serveur hôte. Cette attaque est relativement facile à réaliser via le réseau, à condition que l'attaquant possède déjà un compte avec des privilèges restreints sur votre instance.

CVSS 4.09.4 CRITIQUE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-06-23

Dernière modification2026-10-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

security-advisories@github.com

Description officielle du NVD (en anglais)

n8n is an open source workflow automation platform. Prior to 1.123.43, 2.22.1, and 2.20.7, an authenticated user with permission to create or modify workflows could bypass the patch for CVE-2026-42232 in the XML node. When combined with other nodes, this could lead to RCE on the n8n host. This vulnerability is fixed in 1.123.43, 2.22.1, and 2.20.7.