Paquet npm malveillant n8n-nodes-healthmon : backdoor RCE exposée sur toutes les interfaces

Veille sécuritéBackend & données

P2Critique

Le paquet npm n8n-nodes-healthmon version 1.0.0 est malveillant : son postinstall démarre une porte dérobée HTTP non authentifiée accessible sur le port 41111.

IdentifiantAvis de sécurité

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : GitHub Advisory Database — GHSA-j6fv-f788-59cj

Analyse technique

Le script postinstall charge index.js, lequel démarre un serveur sur 0.0.0.0:41111. Le serveur transmet un champ c reçu en JSON à child_process.exec sans authentification ni restriction d’origine. Le chargement du nœud par n8n réactive également ce comportement.

Impact, versions et correctif

VecteurSupply chain via npm, puis accès réseau au service HTTP exposé.

PréconditionsLe paquet doit être installé ou chargé dans n8n et son port d’écoute doit être accessible.

ImpactExécution de commandes arbitraires sur l’hôte d’installation ou d’exécution de n8n.

Versions affectées= 1.0.0

ContournementSupprimer le paquet, arrêter les processus concernés et bloquer le trafic entrant vers le port 41111.

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-09-23T05:30:39+02:00

Mise à jour2026-09-23T05:30:40+02:00

Détection / vérification

Rechercher n8n-nodes-healthmon@1.0.0 dans les manifestes et répertoires npm ; identifier toute écoute Node sur le port 41111 ; inspecter les journaux n8n, npm et EDR pour des commandes enfants inattendues.

Action recommandée

Désinstaller immédiatement le paquet, effectuer une réponse à incident sur les hôtes affectés et faire tourner les identifiants ou secrets auxquels le processus pouvait accéder.

Sources

GitHub Advisory Database — GHSA-j6fv-f788-59cj

Priorisation DFS : P2 · 1 source(s).