GHSA-g3pf-m29r-p353 : le paquet npm n8n-nodes-metricsagent ouvre une backdoor réseau
Veille sécuritéSystèmes & serveurs
P2Critique

Le paquet malveillant n8n-nodes-metricsagent 1.0.0 exécute un script post-installation qui ouvre un serveur HTTP sans authentification sur toutes les interfaces. Le serveur exécute des commandes transmises par le client.

npmNode.jsn8nLinuxDocker
IdentifiantGHSA-G3PF-M29R-P353
EPSS
Exploitationnon connue / non déterminée
CorrectifAucune version corrigée.

Analyse technique

Le postinstall charge index.js, qui démarre un serveur sur 0.0.0.0:41111. Les requêtes POST contenant un champ c sont passées à child_process.exec et les sorties sont renvoyées au client. Le chargement du nœud n8n réimporte ce code ; l’advisory signale en outre des commandes de reconnaissance de conteneur, dont la vérification du socket Docker.

Impact, versions et correctif

VecteurRéseau et supply chain
PréconditionsInstallation ou chargement de n8n-nodes-metricsagent@1.0.0 ; port TCP 41111 accessible depuis le réseau de l’attaquant.
ImpactExécution arbitraire de commandes dans le contexte de l’installateur ou du processus n8n, avec risque aggravé sur les hôtes donnant accès à Docker.
Versions affectéesn8n-nodes-metricsagent = 1.0.0.
Version corrigéeAucune version corrigée.
ContournementDésinstaller immédiatement le paquet, filtrer TCP/41111 et isoler l’hôte pour analyse.
Exploitation activenon connue / non déterminée
PoC publicnon documenté
Publication2026-09-23T03:30:39Z
Mise à jour2026-09-23T03:30:40Z

Détection / vérification

Rechercher n8n-nodes-metricsagent dans package-lock.json, npm-shrinkwrap.json, node_modules et les emplacements de nœuds n8n ; identifier les processus Node.js en écoute sur 41111 ; examiner les journaux npm/n8n et les accès inhabituels à /var/run/docker.sock.

Action recommandée

Traiter les installations concernées comme compromises : désinstaller et bloquer le paquet, arrêter les processus Node.js associés, rechercher une exposition de TCP/41111, auditer les actions Docker et effectuer une rotation des secrets disponibles pour n8n.

Sources

Priorisation DFS : P2 · confiance de recoupement standard · 1 source(s).