FICHE CVE

CVE-2026-59206

Publiée le 2026-07-09 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les instances d'automatisation de flux de travail n8n auto-hébergées sont concernées si elles utilisent des versions obsolètes. Un attaquant disposant d'un accès au compte de bas niveau peut charger un flux de travail spécialement conçu pour tromper le système et lui faire traiter des requêtes réseau non authentifiées comme étant privilégiées, lui permettant ainsi de voler les listes d'utilisateurs et de projets. Cette attaque est relativement facile à exécuter via le réseau et ne nécessite qu'une authentification utilisateur basique pour être initiée.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-07-09

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

n8n is an open source workflow automation platform. Prior to 1.123.61, 2.27.4, and, 2.28.1, an authenticated user with the default workflow:create permission could pollute Object.prototype through a crafted workflow saved, updated, or imported via the workflow API, allowing unauthenticated requests to be treated as a privileged user and exposing user and project listing endpoints. This issue is fixed in versions 1.123.61, 2.27.4, and 2.28.1.