n8n présente une évasion de Sandbox dans son Task Runner JavaScript

L'impact de cette vulnérabilité est significatif. Un attaquant peut, en exploitant cette faille, exécuter du code malveillant directement sur le serveur n8n. Dans le cas d'utilisation du Task Runner interne (le mode par défaut), cela peut entraîner une compromission totale du système, permettant à l'attaquant de prendre le contrôle du serveur et d'accéder à toutes les données sensibles qu'il contient. Même avec des Task Runners externes, l'attaquant pourrait potentiellement accéder à d'autres tâches exécutées sur le Task Runner, ce qui pourrait avoir des conséquences importantes en fonction de la configuration et des données traitées par n8n. La possibilité d'exécution de code arbitraire ouvre la porte à diverses attaques, telles que l'installation de portes dérobées, le vol de données, la modification de configurations et l'utilisation du serveur compromis comme point de pivot pour attaquer d'autres systèmes du réseau.

Organizations heavily reliant on n8n for workflow automation, particularly those using the default internal Task Runner configuration, are at significant risk. Environments where user access controls are not strictly enforced, allowing unauthorized users to create or modify workflows, are especially vulnerable.

• nodejs / server:

ps aux | grep n8n

Check for unusual processes running within the n8n environment. • nodejs / server:

journalctl -u n8n -f | grep -i error

Monitor n8n logs for error messages or suspicious activity related to task execution. • generic web:

curl -I http://<n8n_host>/ | grep -i 'n8n/1.123.22'

Verify the n8n version is patched (1.123.22 or later).

1. 2026-02-25Disclosure

   disclosure

1. Réservé2026-02-19
2. Publiée2026-02-25
3. Modifiée2026-02-28
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour n8n vers la version 1.123.22 ou une version ultérieure qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation temporaires peuvent être mises en place. Il est fortement recommandé de désactiver les Task Runners internes si cela est possible, car ils sont plus vulnérables. Si l'utilisation des Task Runners internes est indispensable, assurez-vous de limiter strictement les permissions accordées aux utilisateurs et de surveiller attentivement l'activité des Task Runners. L'implémentation de règles WAF (Web Application Firewall) pour bloquer les requêtes suspectes ciblant le Task Runner peut également aider à réduire le risque d'exploitation. Après la mise à jour, vérifiez que les workflows fonctionnent correctement et qu'il n'y a pas de régressions.