Ni8mare : faille CVSS 10.0 dans n8n (CVE-2026-21858)

Les faits

Cyera Research a publié l'analyse complète de CVE-2026-21858, baptisée Ni8mare, une vulnérabilité critique qui touche n8n, la plateforme open source d'automatisation de workflows largement déployée en entreprise. Le score CVSS atteint 10.0, la note maximale, un niveau rarement attribué. La faille se situe dans le node Form Webhook : la fonction chargée de la manipulation des fichiers ne vérifie pas le Content-Type des requêtes entrantes. Un attaquant non authentifié peut donc soumettre une requête JSON forgée à un formulaire exposé et détourner le traitement attendu. Documentée sous la référence CVE-2026-21858 n8n Ni8mare, cette chaîne d'exploitation aboutit à une exécution de code arbitraire sur le serveur hôte, avec un accès potentiel aux identifiants, aux clés d'API et aux intégrations connectées. Les instances auto-hébergées exposées sur Internet sont les premières concernées et doivent être mises à jour sans délai.

L'escalade vers RCE est triviale : n8n stocke les sessions d'authentification dans un cookie n8n-auth signé avec une clé secrète locale. En lisant la base SQLite et le fichier de configuration, l'attaquant forge un cookie de session admin valide et bypass l'authentification. L'exécution de code suit immédiatement via les nodes d'orchestration. Une seconde vulnérabilité CVE-2026-21877 a été divulguée en avril 2026 sur les versions 0.123.0 à 1.121.2, élargissant le périmètre aux déploiements cloud n8n.

Impact et exposition

n8n est massivement utilisée pour orchestrer des workflows IA, des intégrations SaaS et des automatisations DevOps. Une compromission expose tokens API stockés (OpenAI, AWS, Slack, GitHub), credentials de bases de données, et permet à l'attaquant de pivoter vers les services intégrés. Les instances self-hosted accessibles publiquement — fréquentes dans les démarches POC et homelabs — sont les premières cibles. Censys et Shodan recensent plusieurs milliers d'instances n8n exposées, dont beaucoup en versions vulnérables.

Recommandations

• Mettre à jour vers n8n 1.121.3 ou supérieur immédiatement, en self-hosted comme en cloud privé.
• Auditer les credentials stockés dans n8n et révoquer ceux exposés via une instance publiquement accessible.
• Placer toute instance n8n derrière un reverse proxy avec authentification (mTLS, SSO) ou un VPN ; aucune raison fonctionnelle d'exposer la console directement.
• Inspecter les workflows présents pour détecter d'éventuelles modifications malveillantes ou nouveaux webhooks créés sans ticket associé.

Chaîne d'exploitation technique

La chaîne d'attaque Ni8mare se déroule en trois temps distincts, chacun exploitable sans authentification préalable. D'abord, l'attaquant cible l'endpoint du Form Webhook et forge une requête dont l'en-tête Content-Type est falsifié (par exemple application/json au lieu du multipart/form-data attendu). Le parseur de n8n, qui fait confiance à la structure déclarée plutôt qu'au contenu réel, accepte alors un objet req.body.files construit manuellement par l'attaquant, avec un chemin arbitraire vers un fichier système (path traversal classique via ../../). Cette étape seule permet déjà d'exfiltrer /etc/passwd, les variables d'environnement du conteneur, ou surtout la clé de signature stockée dans le fichier de configuration local ou la base SQLite embarquée.

Une fois cette clé secrète récupérée, la seconde étape consiste à forger localement un cookie n8n-auth valide, signé avec le même algorithme HMAC que celui utilisé par le serveur légitime. n8n ne réalise aucune vérification côté serveur (pas de session store distant, pas de rotation de clé par défaut), ce qui rend la falsification triviale une fois le secret en main. Le cookie forgé donne un accès administrateur complet à l'interface de gestion des workflows. La troisième étape exploite les capacités natives de la plateforme : création d'un workflow avec un node Execute Command ou Code, déclenché immédiatement, aboutissant à une exécution de code arbitraire sur l'hôte — sans exploit mémoire, sans payload binaire, uniquement via des fonctionnalités documentées du produit détournées de leur usage.

Indicateurs de compromission et détection

• Requêtes HTTP vers les endpoints /webhook/* ou /form/* avec un Content-Type incohérent par rapport au corps de la requête (JSON envoyé sur un endpoint attendant un upload multipart).
• Présence de séquences de traversée de répertoire (../, encodage URL %2e%2e%2f) dans les paramètres liés aux fichiers des logs d'accès nginx/Apache en frontal de l'instance n8n.
• Création inattendue de workflows contenant des nodes Execute Command, Code ou SSH en dehors des heures et comptes habituels — visible dans l'historique d'exécution (n8n_execution_entity en base).
• Connexions admin depuis des adresses IP ou user-agents inhabituels immédiatement après un accès au Form Webhook, signe d'un cookie forgé réutilisé.
• Sortants réseau anormaux depuis le conteneur/hôte n8n vers des IP externes non répertoriées dans les intégrations configurées.

Mon instance n8n est en cloud n8n.io, suis-je concerné ?

La faille CVE-2026-21858 touche prioritairement les instances self-hosted, où l'administrateur gère lui-même le code de la plateforme et son cycle de mise à jour. Les utilisateurs du SaaS officiel n8n.io ont été automatiquement mis à niveau par l'éditeur, qui a patché son infrastructure dès la divulgation coordonnée. En revanche, CVE-2026-21877 concerne un périmètre de versions plus large (0.123.0 à 1.121.2) et a également affecté certains déploiements gérés avant l'application du correctif de la plateforme — un audit rétroactif des logs d'exécution reste recommandé même pour les comptes cloud créés avant avril 2026.