n8ntechniquewebhooks

n8n webhooks : pourquoi vos automations sont vulnérables aux attaques

Name: CleanIssue
Price range: €€

Publié le 2026-03-125 min de lectureCleanIssue

> En bref : Les webhooks n8n exposés dans le frontend permettent des attaques non authentifiées. Voici comment sécuriser vos workflows.

n8n : l'automation exposée

n8n est un outil d'automation puissant utilisé par de nombreuses startups. Le problème : les URLs de webhooks sont souvent hardcodées dans le JavaScript frontend : accessibles à tout visiteur.

Ce que nous avons trouvé

Sur une plateforme de formation, un webhook n8n hardcodé dans le JS admin permettait la création de comptes avec n'importe quel niveau d'accès. Paramètres : email, nom, mot de passe en clair, niveau d'accès. Temps d'exploitation : 2 minutes.

Les risques

Création de comptes admin non autorisée

Exécution de workflows coûteux (consommation de ressources)

Injection de données dans vos systèmes

Accès à des intégrations tierces (Slack, email, CRM)

Comment sécuriser

N'exposez JAMAIS les URLs de webhook dans le frontend

Utilisez l'authentification par header sur les webhooks n8n

Validez les données entrantes dans chaque workflow

Protégez l'interface n8n elle-même (6 CVE critiques identifiées en 3 mois)

À retenir

Signez chaque webhook sortant avec HMAC-SHA256 et vérifiez la signature côté récepteur.

Implémentez un mécanisme anti-rejeu avec un nonce ou un timestamp expirant.

Ne transmettez jamais de données sensibles (IBAN, NIR) en clair dans le payload — utilisez des références.

Vous éditez un logiciel ? CleanIssue réalise des audits de sécurité pour votre produit en conditions réelles, sans accès au code. Pour une première lecture de votre exposition, commencez par une revue externe de votre application.

Webhooks entre vos services : signature, rejeu et données en transit

Les webhooks qui sortent d'un outil de paie vers un logiciel comptable transportent des montants sensibles. Ce qu'il faut vraiment vérifier.

2026-04-16 · 4 min de lecture

n8nsupply chain

n8n : dix vulnérabilités corrigées le 10 septembre 2026, dont cinq qui touchent les instances auto-hébergées

n8n a publié dix bulletins de sécurité le 10 septembre 2026 : contournement d'authentification OAuth, fuites de credentials entre locataires, sandbox bypass, OIDC actif alors que désactivé. Ce que chaque instance auto-hébergée doit vérifier.

2026-09-10 · 5 min de lecture

CVEn8n

n8n CVE-2026-59208 : une faille JWT token exchange qui vous connecte sous l'identité d'un autre

Sur les instances n8n Enterprise qui font confiance à deux émetteurs de tokens externes, le flux de token exchange rapprochait un JWT entrant uniquement sur le claim sub et ignorait iss. Un token valide de l'émetteur A connectait sous l'identité d'un utilisateur de l'émetteur B. CVSS 7.6 (4.0) / 6.8 (3.1). Correctif : n8n 2.27.4 et 2.28.1.

2026-07-16 · 7 min de lecture

Sources

Rédigé par CleanIssue

Revu le 2026-03-12

Services associés

Si ce sujet reflète un risque concret sur votre stack, voici les audits CleanIssue les plus pertinents.

Red Team Agent Express

Savoir rapidement ce qu'un inconnu peut faire faire à votre agent. Rapport en 5 jours.

Red Team sur mesure

Plusieurs agents, des serveurs MCP ou des agents livrés par une agence : sur devis.

Le Shield

Le logiciel qui bloquera les actions non autorisées. En développement, accès anticipé pour les premiers clients.