n8ntechniquewebhooks

n8n webhooks : pourquoi vos automations sont vulnérables aux attaques

Name: CleanIssue
Price range: €€

Publié le 2026-03-125 min de lectureCleanIssue

> En bref : Les webhooks n8n exposés dans le frontend permettent des attaques non authentifiées. Voici comment sécuriser vos workflows.

n8n : l'automation exposée

n8n est un outil d'automation puissant utilisé par de nombreuses startups. Le problème : les URLs de webhooks sont souvent hardcodées dans le JavaScript frontend : accessibles à tout visiteur.

Ce que nous avons trouvé

Sur une plateforme de formation, un webhook n8n hardcodé dans le JS admin permettait la création de comptes avec n'importe quel niveau d'accès. Paramètres : email, nom, mot de passe en clair, niveau d'accès. Temps d'exploitation : 2 minutes.

Les risques

Création de comptes admin non autorisée

Exécution de workflows coûteux (consommation de ressources)

Injection de données dans vos systèmes

Accès à des intégrations tierces (Slack, email, CRM)

Comment sécuriser

N'exposez JAMAIS les URLs de webhook dans le frontend

Utilisez l'authentification par header sur les webhooks n8n

Validez les données entrantes dans chaque workflow

Protégez l'interface n8n elle-même (6 CVE critiques identifiées en 3 mois)

À retenir

Signez chaque webhook sortant avec HMAC-SHA256 et vérifiez la signature côté récepteur.

Implémentez un mécanisme anti-rejeu avec un nonce ou un timestamp expirant.

Ne transmettez jamais de données sensibles (IBAN, NIR) en clair dans le payload — utilisez des références.

Vous éditez un logiciel RH, paie ou recrutement ? CleanIssue réalise des audits de sécurité pour SaaS RH en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.

Webhooks paie vers la comptabilité : signature, rejeu, et données en transit

Les webhooks qui sortent d'un outil de paie vers un logiciel comptable transportent des montants sensibles. Ce qu'il faut vraiment vérifier.

2026-04-16 · 4 min de lecture

CVEn8n

n8n CVE-2026-59208 : une faille JWT token exchange qui vous connecte sous l'identité d'un autre

Sur les instances n8n Enterprise qui font confiance à deux émetteurs de tokens externes, le flux de token exchange rapprochait un JWT entrant uniquement sur le claim sub et ignorait iss. Un token valide de l'émetteur A connectait sous l'identité d'un utilisateur de l'émetteur B. CVSS 7.6 (4.0) / 6.8 (3.1). Correctif : n8n 2.27.4 et 2.28.1.

2026-07-16 · 7 min de lecture

Reacttechnique

React dangerouslySetInnerHTML : vos composants sont des portes ouvertes au XSS

L'utilisation de dangerouslySetInnerHTML sans sanitization expose votre application au XSS. Voici comment corriger.

2026-03-15 · 5 min de lecture

Sources

Rédigé par CleanIssue

Revu le 2026-03-12

Services associés

Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.

Revue Externe

Obtenir rapidement une lecture claire de l'exposition réelle de votre produit.

Audit Complet

Documenter toutes les failles prioritaires et obtenir un vrai plan de remédiation.

Suivi Récurrent

Surveiller les nouvelles expositions quand votre stack évolue dans le temps.