---

📖 Table des matières

• Aperçu
• Détails techniques
• Sévérité et CVSS
• Versions concernées
• Impact
• Exploitation
• Détection
• Correction
• Atténuation
• Résumé

---

🔎 Aperçu

CVE-2026-21858, surnommée « Ni8mare », est une vulnérabilité critique découverte dans n8n — une plateforme populaire pour créer des workflows d'automatisation (par exemple, automatiser des appels API, des intégrations, des connecteurs SaaS).

Elle permet à des attaquants distants non authentifiés d'interagir avec des points de terminaison webhook/formulaire mal validés et d'obtenir un accès non autorisé aux fichiers et aux ressources internes du serveur.

Une exploitation réussie peut conduire à une exécution de code à distance (RCE) complète et à la prise de contrôle totale de l'instance.

---

🧠 Détails techniques

• Cause racine : Validation d'entrée inadéquate et confusion de Content-Type dans la logique de gestion des webhooks/formulaires.
• Les attaquants peuvent envoyer des requêtes HTTP spécialement conçues qui piègent le système pour l'amener à exposer le contenu de fichiers ou à déclencher des workflows non sécurisés.
• Cette faille permet aux attaquants de :
  • Lire des fichiers arbitraires depuis l'hôte
  • Exposer des identifiants et jetons sensibles
  • Forger des jetons de session administrateur
  • Abuser des nœuds de workflow (par exemple, Execute Command) pour exécuter des commandes OS arbitraires
  • Compromettre entièrement l'instance du serveur

---

📊 Sévérité et CVSS

Cela représente la sévérité maximale possible pour une faille d'exécution de code à distance.

---

📦 Versions concernées

La vulnérabilité affecte la plateforme open-source n8n :

= 1.65.0 and < 1.121.0

id="vsurvey1"

Toutes les instances auto-hébergées exécutant des versions antérieures à 1.121.0 sont vulnérables.

---

🔥 Impact

Un attaquant exploitant cette vulnérabilité peut :

• 🔓 Lire des fichiers système arbitraires
• 🔑 Exposer les identifiants de base de données, les clés API, les jetons
• 🔐 Forger des sessions d'authentification
• 🛠 Exécuter des commandes système arbitraires
• 💥 Compromettre entièrement la machine hôte
• ↔ Pivoter vers les systèmes et intégrations connectés

Les instances exposées sur l'Internet public sont particulièrement à risque.

---

🧨 Exploitation

Cette vulnérabilité est :

• À distance : Aucune restriction réseau requise au-delà de l'accès aux points de terminaison webhook/formulaire
• Non authentifiée : Aucune connexion ni identifiant requis
• Faible complexité : Facile pour les attaquants de concevoir des requêtes d'exploitation

Les preuves issues du scan d'Internet suggèrent que des dizaines de milliers d'instances potentiellement exposées restent accessibles en ligne.

---

🔍 Détection

Surveillez :

• Des requêtes HTTP inattendues avec des en-têtes Content-Type inhabituels
• Des schémas d'accès aux points de terminaison webhook/formulaire depuis des sources non fiables
• Des accès aux fichiers suspects ou des journaux d'exécution de nœuds
• Des journaux de serveur web montrant des exécutions de workflows anormales

---

🛠 Correction

✅ Corriger immédiatement

Mettez à jour n8n vers la version 1.121.0 ou ultérieure — cette version inclut le correctif pour CVE-2026-21858.

1. Arrêtez votre instance n8n actuelle
2. Mettez à niveau vers 1.121.0+
3. Redémarrez le service
4. Vérifiez qu'il ne reste aucun nœud non corrigé exposé

---

🧱 Atténuation temporaire (si le correctif est retardé)

Pendant la mise à jour, réduisez l'exposition :

• Restreignez l'accès externe aux points de terminaison webhook et formulaire
• Exigez une authentification pour toutes les requêtes entrantes
• Utilisez des règles de pare-feu pour limiter le trafic entrant
• Désactivez les webhooks publics jusqu'à l'application du correctif

---

🔐 Liste de vérification de sécurité

• Exécutez n8n ≥ 1.121.0
• Restreignez l'accès réseau aux IP de confiance
• Faites pivoter tous les secrets stockés (clés API/jetons/identifiants)
• Passez en revue les définitions de workflows pour détecter tout contenu non sécurisé
• Auditez les journaux d'accès pour détecter les tentatives d'exploitation

---

📌 Résumé

---

⚠️ Avis final

Si vous exécutez n8n **où que ce soit — en particulier les instances auto-hébergées exposées sur Internet — corrigez **vers la version 1.121.0 ou supérieure immédiatement. Le risque de compromission totale du système est élevé, et des exploits automatisés sont possibles compte tenu des détails publics de ce problème.