CVE-2026-65598
Publiée le 2026-07-22 · Dernière modification le 2026-10-29
Les instances n8n, qu'elles soient auto-hébergées ou sur le cloud, sont affectées par une faille dans le processus de clonage du nœud Git. Un utilisateur authentifié disposant de privilèges restreints peut exploiter une fenêtre de synchronisation pour contourner les restrictions de répertoire, lui permettant ainsi d'installer un dépôt malveillant qui exécute du JavaScript arbitraire sur votre serveur lors du redémarrage. Cette attaque est complexe à réaliser et nécessite que l'attaquant possède déjà un compte sur votre instance.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
n8n before 1.123.64, 2.29.8, and 2.30.1 contains a TOCTOU race condition in the Git node's clone operation that allows authenticated users to bypass path restrictions by swapping a directory for a symlink after the path is validated but before the clone runs. This lets an attacker plant a crafted repository in the community node directory, which n8n loads as a custom node on the next restart, executing arbitrary JavaScript on the server. Both self-hosted and cloud instances are affected.