Une seconde faille critique RCE affecte n8n – CVE-2026-21877 : comment se protéger ?
Une nouvelle faille de sécurité critique, associée à la référence CVE-2026-21877, a été patchée dans n8n. Quels sont les risques ? Comment se protéger ? Faisons le point.
Cette nouvelle faille de sécurité, à ne pas confondre avec la CVE-2025-68613 patchée juste avant Noël 2025, permet une exécution de code à distance sur le serveur n8n. Attention, une authentification est préalable pour exploiter cette vulnérabilité, ce qui limite les risques (tout dépend du niveau de sécurité de l'instance n8n).
"Dans certaines conditions, un utilisateur authentifié peut être en mesure de provoquer l'exécution d'un code non fiable par le service n8n. Cela pourrait entraîner la compromission totale de l'instance concernée.", peut-on lire dans le bulletin de sécurité.
Il s'agit d'une faille critique associée à un score CVSS de 10 sur 10. Le bulletin de sécurité précise que l'attaque est simple à réaliser, à condition d'être authentifié avec n'importe quel compte.
Comment se protéger ?
Le bulletin de sécurité indique que les versions suivantes sont infectées :
- Toutes les versions à partir de la 0.123.0
- Toutes les versions antérieures à la 1.121.3
Le patch de sécurité quant à lui ne date pas d'aujourd'hui. En effet, la version suivante intègre le correctif : 1.121.3, une version publiée le 26 novembre 2025. Ce correctif est donc aussi intégré aux versions plus récentes. Pour rappel, le correctif de la CVE-2025-68613 est plus ancien : 1.121.1.
Si vous avez mis à jour votre instance n8n récemment, vous êtes probablement déjà protégé ! Sinon, vous devez effectuer la mise à jour. "Les instances auto-hébergées et n8n Cloud sont toutes deux concernées.", précise le bulletin.
Dans le cas où la mise à jour n'est pas envisageable, voici les recommandations : "Si la mise à niveau n'est pas possible immédiatement, les administrateurs peuvent réduire l'exposition en désactivant le nœud Git et en limitant l'accès aux utilisateurs non fiables." - Ce node serait donc directement lié à cette vulnérabilité.
