La faille critique découverte dans n8n versions 1.65-1.120.4 permet un accès non authentifié au système via certains workflows. La mise à jour vers la version 1.121.0 est impérative pour sécuriser vos instances et éviter une compromission majeure.
3 principaux points à retenir.
- Vulnérabilité spécifique : concerne les workflows avec trigger Form Submission et un nœud de fin retournant un fichier binaire.
- Impact : accès non autorisé au système de fichiers et possible escalade de privilèges.
- Solution : mettre à jour immédiatement vers n8n 1.121.0 ou version 2.x pour se protéger.
Quelle est la nature de la faille dans n8n 1.65-1.120.4 ?
La faille de sécurité dans n8n versions 1.65 à 1.120.4 est liée à une mauvaise validation des entrées dans des workflows spécifiques utilisant un trigger Form Submission et un Form Ending node retournant un fichier binaire. Ce défaut permet à un attaquant non authentifié d’accéder au système de fichiers sous-jacent, ce qui est une situation critique pour la sécurité de votre instance.
Pour comprendre les mécanismes de cette vulnérabilité, imaginez un workflow configuré pour traiter des soumissions de formulaires. Si un attaquant parvient à accéder à ce formulaire, il peut exploiter la faille à travers des entrées malveillantes. Grâce à une validation insuffisante des données, cet attaquant peut théoriquement obtenir un accès en lecture au système de fichiers de n8n. En d’autres termes, il pourrait accéder à des fichiers sensibles stockés sur le serveur, ce qui pourrait avoir des conséquences désastreuses selon la configuration de votre déploiement et l’utilisation des workflows.
Cette vulnérabilité résulte d’un défaut dans la gestion des entrées utilisateurs au sein de ces workflows spécifiques, créant ainsi une brèche critique. En effet, un workflow vulnérable pourrait être exploité par toute personne capable d’accéder au formulaire, y compris des utilisateurs non authentifiés. Cela signifie que même ceux qui n’ont pas de droits d’accès peuvent potentiellement causer des dommages significatifs, rendant la situation d’autant plus alarmante.
La nécessité de corriger cette vulnérabilité ne saurait être sous-estimée. Pour les utilisateurs de n8n, il est impératif d’être vigilant et de mettre à jour votre instance vers la version 1.121.0 ou ultérieure dès que possible. Si vous souhaitez approfondir le sujet, vous pouvez consulter cet article sur les implications de cette vulnérabilité.
Qui est concerné et quels sont les risques réels ?
Seuls les utilisateurs auto-hébergés de n8n utilisant les versions 1.65 à 1.120.4 sont concernés par cette vulnérabilité. Si vous êtes sur une version 2.x ou si vous utilisez la version cloud, vous pouvez dormir sur vos deux oreilles : ces versions sont déjà sécurisées. Mais pour ceux qui sont encore sur les versions vulnérables, il est crucial de comprendre les risques réels.
La faille en question permettrait un accès non autorisé à des données sensibles. Imaginez un attaquant capable d’exploiter un workflow vulnérable pour accéder à des fichiers confidentiels, des informations clients, ou même des données financières. C’est un cauchemar pour toute entreprise ! Une telle compromission peut mener à une fuite d’informations critiques, avec des conséquences désastreuses pour la réputation et la confiance de vos clients. En effet, selon une étude de l’IBM, le coût moyen d’une violation de données s’élevait à 3,86 millions de dollars en 2020. Cela ne rigole pas.
Mais ce n’est pas tout. La vulnérabilité pourrait également permettre une escalade de privilèges au sein de votre instance n8n. Cela signifie qu’un attaquant pourrait non seulement accéder à des données, mais aussi potentiellement prendre le contrôle de votre système. Imaginez un employé malveillant ou un hacker accédant à votre instance et modifiant des workflows, ou pire, supprimant des données essentielles. La sécurité de votre infrastructure est mise en péril.
En résumé, si vous êtes un utilisateur auto-hébergé de n8n dans les versions 1.65 à 1.120.4, il est temps de prendre cette alerte au sérieux. Ne laissez pas un simple workflow vous coûter cher. Pour plus d’informations sur cette faille, vous pouvez consulter cet article ici.
Comment vérifier si votre instance est vulnérable ?
Pour savoir si votre instance n8n est vulnérable, il est essentiel d’identifier les workflows qui pourraient poser problème. Ce n’est pas sorcier, mais cela demande un peu de méthode. Voici comment procéder :
- Vérifiez votre version : Si vous utilisez n8n dans les versions 1.65 à 1.120.4, il est impératif de rester vigilant. Les versions 2.x et supérieures ne sont pas concernées.
- Identifiez les workflows à risque : Concentrez-vous sur ceux qui ont un Form Submission trigger et un Form Ending node retournant un fichier binaire. Ces critères sont cruciaux pour déterminer la vulnérabilité.
Pour faciliter cette identification, l’équipe n8n a mis à votre disposition un template de workflow. En l’exécutant, vous pourrez scanner votre instance et repérer les workflows potentiellement vulnérables.
Voici un processus pas à pas pour auditer votre instance sans risque :
- Accédez à votre tableau de bord n8n : Connectez-vous et naviguez vers la section des workflows.
- Exécutez le template de workflow : Téléchargez le modèle fourni par n8n et lancez-le. Cela va analyser vos workflows et vous indiquer ceux qui sont à risque.
- Interprétez les résultats : Si le scan signale des workflows vulnérables, notez leurs détails. Si rien n’est signalé, vous êtes plutôt en sécurité, mais restez sur vos gardes.
Il est crucial de garder un œil sur vos workflows et de les auditer régulièrement. Cela fait partie des bonnes pratiques de sécurité. Ne laissez pas une faille potentielle compromettre vos données. En cas de doute, n’hésitez pas à consulter la documentation de n8n ou à faire appel à des experts en sécurité.
Quelle est la marche à suivre pour sécuriser votre n8n ?
Si vous êtes parmi les utilisateurs de n8n disposant de versions comprises entre 1.65 et 1.120.4, il est impératif d’agir rapidement pour corriger la faille critique récemment identifiée. La mise à jour vers la version 1.121.0 ou supérieure n’est pas seulement une recommandation, c’est une nécessité. La vulnérabilité peut permettre à des attaquants non authentifiés d’accéder à des informations sensibles, ce qui pourrait avoir des conséquences désastreuses pour votre système.
Pour ceux qui utilisent des instances auto-hébergées, voici la marche à suivre :
- Vérifiez votre version actuelle : Assurez-vous que vous êtes sur une version vulnérable, c’est-à-dire entre 1.65 et 1.120.4.
- Effectuez une sauvegarde : Avant d’appliquer la mise à jour, réalisez une sauvegarde complète de votre instance n8n. Cela vous permettra de revenir à une version stable en cas de problème.
- Téléchargez la dernière version : Rendez-vous sur le site officiel de n8n ou sur leur forum pour obtenir la version 1.121.0 ou plus récente.
- Appliquez la mise à jour : Suivez les instructions de mise à jour fournies dans la documentation de n8n. Cela peut impliquer des commandes spécifiques si vous utilisez Docker ou d’autres méthodes d’installation.
- Testez vos workflows : Une fois la mise à jour effectuée, vérifiez que tous vos workflows fonctionnent comme prévu. Assurez-vous que les fonctionnalités critiques sont opérationnelles avant de les mettre en production.
Les utilisateurs de Cloud n’ont pas à s’inquiéter de cette vulnérabilité, car leurs instances sont automatiquement mises à jour. Toutefois, pour les auto-hébergés, le temps presse. Ne laissez pas cette faille compromettre votre sécurité.
En ce qui concerne les bonnes pratiques pour la gestion des mises à jour de sécurité, voici quelques conseils :
- Restez informé : Abonnez-vous aux notifications de sécurité de n8n et suivez les mises à jour sur leur site.
- Planifiez les mises à jour : Établissez un calendrier régulier pour vérifier et appliquer les mises à jour de sécurité, minimisant ainsi les risques.
- Testez dans un environnement sécurisé : Si possible, testez les mises à jour dans un environnement de développement avant de les appliquer en production.
En suivant ces étapes, vous contribuerez à sécuriser votre instance n8n et à protéger vos données contre d’éventuelles violations.
Comment n8n gère-t-il la sécurité et la communication des vulnérabilités ?
La gestion de la sécurité chez n8n n’est pas une simple formalité, mais un véritable engagement. Leur politique de sécurité repose sur un programme de divulgation responsable qui permet aux utilisateurs et aux chercheurs de signaler des vulnérabilités de manière sécurisée. Cela signifie que si vous trouvez un bug ou une faille, vous pouvez le rapporter sans crainte de représailles. Ce processus est crucial, car il permet à n8n de réagir rapidement et efficacement aux menaces potentielles.
Concernant la communication des vulnérabilités, n8n adopte une approche transparente. Ils publient régulièrement des notes de version qui incluent non seulement les nouvelles fonctionnalités, mais aussi des correctifs de sécurité. Vous pouvez consulter ces notes ici : Notes de version n8n. De plus, les CVEs (Common Vulnerabilities and Exposures) sont documentés sur leur GitHub, ce qui permet à quiconque de suivre l’historique des failles et des correctifs. Pour une liste à jour des CVEs, visitez : CVEs sur GitHub.
Vous vous demandez peut-être pourquoi il y a eu un délai entre la correction de la faille et sa communication publique ? C’est une question légitime. n8n a choisi d’attendre que les correctifs soient déployés avant d’informer le public. Cette stratégie vise à prévenir une exploitation massive de la vulnérabilité pendant que les utilisateurs n’ont pas encore eu l’occasion de mettre à jour leurs systèmes. Une communication prématurée aurait pu inciter des attaquants à exploiter la faille avant qu’elle ne soit corrigée. Pour en savoir plus sur la façon dont n8n gère la sécurité, consultez leur programme de divulgation sur leur site.
Pour rester informé et protéger votre instance, assurez-vous de suivre ces canaux. Si vous utilisez n8n, il est impératif de rester à jour avec les dernières versions et de consulter régulièrement les notes de version. Cela vous permettra non seulement de bénéficier des nouvelles fonctionnalités, mais aussi de vous prémunir contre les failles de sécurité potentielles.
Votre n8n est-il vraiment protégé contre cette faille critique ?
La faille de sécurité dans n8n versions 1.65-1.120.4 n’est pas une menace théorique : elle ouvre une porte directe à des attaquants non authentifiés. La bonne nouvelle ? La correction est déjà disponible depuis novembre 2025. Si vous gérez une instance auto-hébergée, votre priorité absolue est de passer à la version 1.121.0 ou supérieure. En sécurisant votre instance, vous protégez vos données sensibles et évitez un compromis qui pourrait coûter cher. Ne laissez pas un détail technique devenir un cauchemar opérationnel.
FAQ
Quelles versions de n8n sont vulnérables à cette faille ?
Quels sont les risques concrets liés à cette vulnérabilité ?
Comment savoir si mon instance est vulnérable ?
Quelle est la meilleure façon de corriger cette faille ?
Pourquoi la communication sur cette faille a-t-elle été retardée ?
A propos de l’auteur
Franck Scandolera est consultant et formateur expert en Analytics, Data, Automatisation et IA, avec une solide expérience dans le développement et l’intégration de workflows automatisés via n8n. Responsable de l’agence webAnalyste et formateur reconnu, il accompagne les entreprises dans la sécurisation et l’optimisation de leurs systèmes automatisés, notamment en déployant des solutions robustes et sécurisées.
⭐ Analytics engineer, Data Analyst et Automatisation IA indépendant ⭐
- Ref clients : Logis Hôtel, Yelloh Village, BazarChic, Fédération Football Français, Texdecor…
Mon terrain de jeu :
- Data Analyst & Analytics engineering : tracking avancé (GTM server, e-commerce, CAPI, RGPD), entrepôt de données (BigQuery, Snowflake, PostgreSQL, ClickHouse), modèles (Airflow, dbt, Dataform), dashboards décisionnels (Looker, Power BI, Metabase, SQL, Python).
- Automatisation IA des taches Data, Marketing, RH, compta etc : conception de workflows intelligents robustes (n8n, App Script, scraping) connectés aux API de vos outils et LLM (OpenAI, Mistral, Claude…).
- Engineering IA pour créer des applications et agent IA sur mesure : intégration de LLM (OpenAI, Mistral…), RAG, assistants métier, génération de documents complexes, APIs, backends Node.js/Python.