FICHE CVE

CVE-2026-77082

Publiée le 2026-08-20 · Dernière modification le 2026-09-01

🇫🇷 EN BREF

Les instances n8n auto-hébergées utilisant des nœuds Filter ou Switch sont vulnérables à une attaque par déni de service. Un utilisateur authentifié ayant la possibilité de créer ou de modifier des flux de travail peut fournir une expression régulière spécialement conçue pour geler le fil d'exécution du worker, retardant ou bloquant l'exécution d'autres flux de travail. Cela peut être exécuté à distance via le réseau et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-08-20

Dernière modification2026-09-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

n8n before 1.123.69, 2.x before 2.33.4, and 2.34.x before 2.34.1 contains a regular expression denial of service (ReDoS) vulnerability in the Filter and Switch nodes, which compile user-supplied regex patterns with new RegExp() and execute them synchronously on the worker thread without complexity validation or execution timeout. A crafted regex pattern can block the worker for an extended period per data item processed, delaying other workflow executions on the same worker.