n8n : 14 failles de sécurité corrigées le 1er octobre, mettez à jour votre instance

n8n a publié le 1er octobre 2026 un bulletin de sécurité qui regroupe 14 vulnérabilités, dont 10 classées de gravité élevée. Les utilisateurs de n8n Cloud n’ont rien à faire : leur instance est corrigée automatiquement. Si vous hébergez n8n vous-même, sur un VPS, en Docker ou chez un hébergeur, la mise à jour est à faire rapidement. Vos workflows manipulent des identifiants, des clés d’API et des données clients : une instance non corrigée est une porte d’entrée.

01Quelle version installer

Les versions corrigées dépendent de votre branche :

Si vous êtes déjà sur la dernière version corrective de votre branche, aucune action n’est nécessaire. Toutes les branches ne sont pas touchées de la même façon : selon les fiches GitHub, une faille ne concerne que la v1, sept ne concernent que la v2 et six concernent toutes les branches.

02Les failles qui demandent le plus d’attention

Les 14 failles sont notées en CVSS version 4, de 6,0 à 8,2. Voici les plus sensibles, avec leurs conditions d’exploitation :

• Persistance illimitée de clients OAuth (élevée, 8,2) : exploitable sans compte, elle permet de remplir une table jusqu’à saturer le disque. Seule la disponibilité de l’instance est touchée.
• Injection SQL dans le nœud Microsoft SQL (élevée, 7,0) : exploitable sans compte si un workflow injecte une donnée externe, par exemple issue d’un webhook, dans le champ de requête. n8n recommande la version 1.1 du nœud et les paramètres de requête.
• Contournement de la signature de « Send and Wait » (élevée, 7,0) : sans compte, mais avec le jeton de reprise, un attaquant peut valider une étape d’approbation. La suite du workflow s’exécute avec les identifiants de son propriétaire.
• Exécution de code via le nœud Git (élevée, 7,7) : un membre de l’instance peut exécuter des programmes avec les droits du processus n8n. Contournement possible : exclure le nœud avec la variable NODES_EXCLUDE.
• Prise de contrôle du compte propriétaire via le serveur MCP (élevée, 7,7) : elle suppose un accès OAuth MCP en lecture. Les comptes protégés par double authentification ne sont pas concernés.

Les autres failles concernent notamment des scripts injectés dans l’aperçu de fichiers et dans le chat hébergé, le contrôle des identifiants partagés dans les sous-workflows et les agents, et l’exécution de workflows entre projets via un webhook.

03Un rythme de correctifs qui s’accélère

2026 a été une année chargée pour la sécurité de n8n :

• Janvier 2026 : la faille « Ni8mare » (CVE-2026-21858), notée 10 sur 10, exploitable sans authentification sur les versions antérieures à 1.121.0.
• Février 2026 : CVE-2026-25049, notée 9,4, qui supposait de pouvoir créer ou modifier des workflows.
• Mars 2026 : l’agence américaine CISA ajoute CVE-2025-68613, notée 9,9, à son catalogue des failles activement exploitées. Plus de 24 700 instances n’étaient pas corrigées début février, selon Shadowserver.
• Depuis août 2026 : un bulletin de sécurité tous les quinze jours (20 août, 2 septembre, 16 septembre, 1er octobre).

Le bulletin d’octobre ne contient pas de faille critique notée au-delà de 9, mais la fréquence des correctifs impose une discipline de mise à jour.

04La bonne routine de mise à jour

1. Mettez à jour au moins une fois par mois, comme le recommande la documentation officielle de n8n.
2. Lisez les notes de version avant chaque mise à jour pour repérer les changements cassants.
3. Testez d’abord sur une instance de recette, avec une copie de vos workflows critiques.
4. Sauvegardez la base et la clé de chiffrement avant toute mise à jour : sans la clé, vos identifiants enregistrés deviennent illisibles.
5. Abonnez-vous aux bulletins de sécurité du forum n8n pour être alerté le jour même.
6. Réduisez la surface d’attaque : double authentification sur les comptes, nœuds inutiles exclus, webhooks publics limités au nécessaire.

Si vous débutez, notre guide complet de n8n présente les options d’hébergement. Pour une instance installée, sécurisée et maintenue dans la durée, découvrez notre offre d’installation de n8n.

05Questions fréquentes

J’utilise n8n Cloud : dois-je faire quelque chose ?

Non. Selon le bulletin, les instances n8n Cloud sont corrigées automatiquement.

Comment connaître ma version de n8n ?

Elle s’affiche dans le menu d’aide de l’interface, rubrique « About n8n », ainsi que dans les journaux de démarrage de l’instance.

Ces failles ont-elles un identifiant CVE ?

Non. Le bulletin du 1er octobre référence les failles par leurs identifiants GitHub (GHSA), sans CVE attribué au moment de la publication.