n8n: Mehrere Schwachstellen
WID-SEC-2026-3393 · première publication 16.09.2026 · mise à jour 02.10.2026 · CVSS 9,0
De quoi il s’agit
n8n ist ein Workflow-Automatisierungstool, mit dem verschiedene Anwendungen und Dienste miteinander verbunden werden können, um Aufgaben zu automatisieren. Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in n8n ausnutzen, um Sicherheitsmaßnahmen zu umgehen, Daten offenzulegen oder zu manipulieren oder Code auszuführen.
Dans quelles conditions ?
Par le réseau, mais uniquement avec un accès valide (authentification requise), par exemple avec des identifiants volés ou en interne.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Sicherheitsmaßnahmen zu umgehen
- Daten offenzulegen oder zu manipulieren oder Code auszuführen
Suis-je concerné ?
Concernés selon le BSI :
- n8n n8n <2.39.6
- n8n n8n <2.40.1
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- n8n n8n 2.39.6
- n8n n8n 2.40.1
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- GitHub Security Advisory GHSA-342v-gmh6-738j vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-4wf3-rgqr-xcp3 vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-597w-c3jh-g8fg vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-5pg9-2vqx-r6jm vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-7gjv-rcf8-x5qc vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-7gvh-q9w3-wqqx vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-89p4-6h98-c7xm vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-9rhv-fhr8-7q5r vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-c2wp-6fgc-xjq4 vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-fmmv-p585-7c8x vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-gx6g-2hm7-c4xf vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-hwv9-jhc7-f7c4 vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-rqch-9jrh-cr8w vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-rx55-8qhx-4hwx vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-w24g-6454-7w7f vom 2026-09-15 github.com
- GitHub Security Advisory GHSA-xrqg-3xcp-h45x vom 2026-09-15 github.com
CVE: CVE-2026-103245, CVE-2026-103246, CVE-2026-103247, CVE-2026-103248, CVE-2026-103249, CVE-2026-103250, CVE-2026-103251, CVE-2026-103252, CVE-2026-103253, CVE-2026-103254, CVE-2026-103255, CVE-2026-103256, CVE-2026-103257, CVE-2026-103258, CVE-2026-103259, CVE-2026-103260
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.