Veille sécuritéFrontend
P3Élevée
Une vulnérabilité d’exécution de code à distance dans n8n permet à des utilisateurs authentifiés pouvant créer, modifier ou importer des workflows d’exécuter du JavaScript dans le processus principal. Elle concerne les anciennes versions des branches 2.42.x, 2.43.x et 3.x indiquées dans la fiche; appliquer les versions correctives précisées.
JavaScript
IdentifiantCVE-2026-119408
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.42.6; 2.43.3; 3.0.1
Source : NVD — CVE-2026-119408
Analyse technique
Les nœuds Function, Function Item et LangChain Code dépréciés s’exécutent hors de l’isolation des task runners lorsque ces types cachés sont nommés dans le workflow.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-30, dans la période demandée; la divulgation décrit une vulnérabilité et ses versions correctives.
ImpactExécution de code dans le processus principal de n8n par des utilisateurs authentifiés disposant des droits nécessaires.
Versions affectéesAvant 2.42.6, avant 2.43.3 pour la branche 2.43.x, et avant 3.0.1 pour la branche 3.x.
Version corrigée2.42.6; 2.43.3; 3.0.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-10-30T12:16:37.283Z
Mise à jour2026-10-30T12:16:37.413Z
Action recommandée
Mettre à niveau vers 2.42.6, 2.43.3 ou 3.0.1 selon la branche utilisée et restreindre les droits de création ou d’importation de workflows.
Sources
Priorisation DFS : P3 · 1 source(s).