Retour au blog
n8nsupply chainmulti-tenantauthentification

n8n : dix vulnérabilités corrigées le 10 septembre 2026, dont cinq qui touchent les instances auto-hébergées

Publié le 2026-09-10 · Mis à jour le 2026-09-195 min de lectureActionShield

> En bref : Le 10 septembre 2026, n8n a publié dix bulletins de sécurité (medium) en une seule fournée. Parmi eux : un contournement d'authentification via le flux OAuth, une fuite de PII entre locataires sur les instances multi-tenant, un sandbox bypass du nœud Git, des credentials visibles dans le log streaming, et un OIDC désactivé mais toujours actif. Si vous auto-hébergez n8n en production, c'est une checklist immédiate.

Pourquoi n8n est une cible de choix

n8n est devenu l'outil d'orchestration par défaut des équipes produit : CRM, e-mails, bases de données, IA, paiements. Une instance n8n détient donc des credentials à haute valeur pour des dizaines de services tiers, et un accès réseau vers l'intérieur de l'entreprise. Une vulnérabilité dans n8n, c'est potentiellement un passe-partout.

Les dix bulletins, en clair

Authentification et sessions :

  • GHSA-cw9w-vv67-hf73 — Contournement OAuth par l'écran de consentement. L'attaquant manipule le flux OAuth pour accéder sans l'authentification attendue.
  • GHSA-pf83-w3f9-8m37 — OIDC désactivé mais actif. L'authentification OIDC peut être désactivée dans l'interface, mais rester active côté serveur — ou inversement. Divergence entre configuration déclarée et configuration effective.

    • Multi-tenant et isolation :

  • GHSA-cqr2-h44g-v75v — Fuite de PII inter-locataires. Sur les instances multi-tenant, des données personnelles pouvaient être visibles d'un locataire à l'autre.
  • GHSA-65xw-2v52-jhxc — Workflow IDs visibles entre utilisateurs. Énumération croisée des identifiants de workflows d'autres comptes.

    • Credentials et exposition :

  • GHSA-q5wm-mgqx-fv2f — URL de credential IA non validée. Le nœud de credential IA acceptait des URL non validées, ouvrant la porte à des fuites ou des accès non voulus.
  • GHSA-pq6c-vh67-xpm3 — Credentials dans le log streaming. Les credentials pouvaient apparaître dans le flux de logs temps réel.

    • Exécution et intégrité :

  • GHSA-qgpw-8g46-w95v — Sandbox bypass du nœud Git. Le nœud Git échappait à la sandbox d'exécution, avec un impact potentiel sur l'exécution de code.
  • GHSA-5m98-cgcr-xx3q — Webhook fail-open. Un webhook qui devrait rejeter un accès non autorisé pouvait l'accepter par défaut.
  • GHSA-f2cp-m7mv-8jpv — Path injection vers Elasticsearch. Chemins injectables dans les requêtes Elasticsearch.
  • GHSA-679f-58pq-4v2c — Prototype pollution / DoS. Pollution de prototype menant à une dégradation de service.

    • Ce qu'il faut vérifier maintenant

  • Mettez n8n à jour si votre instance est en production — les dix bulletins sont corrigés dans la version suivante.
  • Vérifiez qui peut voir vos logs de streaming — et ce qu'ils contiennent.
  • Audit de vos nœuds Git : quel code s'exécute-t-il, et dans quelle sandbox ?
  • Révisez vos OIDC/OAuth : ce qui est désactivé dans l'UI est-il réellement désactivé côté serveur ?
  • Si vous êtes multi-tenant, supposez que l'isolation entre locataires était incomplète avant ce correctif et vérifiez vos flux de données.

    • La leçon

    Dix vulnérabilités en une journée, toutes medium, aucune critique — c'est le portrait d'un projet mature qui corrige vite. Mais pour un auto-hébergeur, « medium » sur un outil qui détient les credentials de toute l'entreprise n'est pas un niveau de gravité, c'est un niveau d'attention. Mettre à jour, vérifier les logs, valider les flux OAuth : dix minutes de travail pour éviter une fuite qui aurait pu coûter des semaines.

    Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.

    Articles liés

    Trois analyses proches pour continuer la lecture sur la meme surface de risque.

    CVEn8n

    n8n CVE-2026-59208 : une faille JWT token exchange qui vous connecte sous l'identité d'un autre

    Sur les instances n8n Enterprise qui font confiance à deux émetteurs de tokens externes, le flux de token exchange rapprochait un JWT entrant uniquement sur le claim sub et ignorait iss. Un token valide de l'émetteur A connectait sous l'identité d'un utilisateur de l'émetteur B. CVSS 7.6 (4.0) / 6.8 (3.1). Correctif : n8n 2.27.4 et 2.28.1.

    2026-07-16 · 7 min de lecture
    CVEDevOps

    JFrog Artifactory CVE-2026-82329 : un token JWT signé avec une clé vide donne les droits admin

    CVE-2026-82329 (CVSS 9,8) permet à un attaquant non authentifié de forger un JWT admin sur les instances Artifactory auto-hébergées non durcies, en exploitant une clé de cluster vide par défaut. L'accès obtenu permet de contrôler dépôts, utilisateurs et configuration — un risque direct d'empoisonnement de la chaîne d'approvisionnement logicielle.

    2026-09-08 · 6 min de lecture
    Hacks célèbresAuthentification

    Okta 2022 et 2023 : quand le fournisseur d'identité se fait pirater

    Deux compromissions majeures d'Okta en deux ans. Analyse des vecteurs, de l'impact sur les clients, et des enseignements pour la sécurité des fournisseurs d'identité.

    2026-04-07 · 7 min de lecture

    Sources

    Rédigé par ActionShield
    Revu le 2026-09-19

    Services associés

    Si ce sujet reflète un risque concret sur votre stack, voici les audits ActionShield les plus pertinents.

    Red Team Agent Express

    Voir vite ce qu'un inconnu peut faire faire à votre agent — rapport en 5 jours.

    Diagnostic Agent

    L'état des lieux complet : chaque acte de votre agent, testé et hiérarchisé.

    Besoin de savoir ce que votre agent IA peut faire ?

    Expliquez votre agent, ses tools et votre contexte client. Nous revenons vers vous avec le bon niveau de revue.

    Parler de votre audit