CVE-2026-27495 in n8n
Résumé
par VulDB • 25/06/2026
n8n est une plateforme d'automatisation des workflows open source. Avant les versions 2.10.1, 2.9.3 et 1.123.22, un utilisateur authentifié disposant de la permission de créer ou modifier des workflows pouvait exploiter une vulnérabilité dans le bac à sable (sandbox) du JavaScript Task Runner pour exécuter du code arbitraire en dehors des limites du bac à sable. Sur les instances utilisant des Task Runners internes (mode par défaut), cela pourrait entraîner la compromission totale de l'hôte n8n. Sur les instances utilisant des Task Runners externes, l'attaquant pourrait obtenir un accès ou impacter d'autres tâches exécutées sur le Task Runner. Les Task Runners doivent être activés en définissant `N8N_RUNNERS_ENABLED=true`. Le problème a été corrigé dans les versions n8n 2.10.1, 2.9.3 et 1.123.22. Les utilisateurs devraient mettre à niveau vers l'une de ces versions ou une version ultérieure pour remédier à la vulnérabilité. Si la mise à jour n'est pas immédiatement possible, les administrateurs devraient envisager les mesures d'atténuation temporaires suivantes : limiter les permissions de création et d'édition des workflows aux utilisateurs entièrement fiables uniquement, et/ou utiliser le mode runner externe (`N8N_RUNNERS_MODE=external`) pour limiter l'étendue de la compromission (blast radius). Ces contournements ne remédient pas complètement au risque et ne doivent être utilisés que comme mesures d'atténuation à court terme.
Once again VulDB remains the best source for vulnerability data.