Oui, si vous utilisez n8n entre les versions 1.65 et 1.120.4, votre instance est vulnérable à une faille critique qui permet l’accès non autorisé au système. Mettez à jour immédiatement vers la version 1.121.0 pour colmater cette brèche avant qu’elle ne soit exploitée.
3 principaux points à retenir.
- Une faille critique affecte n8n versions 1.65 à 1.120.4 avec risque d’accès non authentifié aux fichiers système.
- Les versions 1.121.0 et 2.x corrigent cette vulnérabilité, les utilisateurs doivent impérativement mettre à jour.
- Les instances cloud ont déjà été sécurisées automatiquement, seules les instances self-hosted doivent agir.
Quelle est la nature de la faille de sécurité dans n8n ?
La faille de sécurité dans n8n, qui touche les versions 1.65 à 1.120.4, est un problème d’injection critique lié à des workflows basés sur des formulaires. Plus précisément, elle concerne les workflows contenant à la fois un Form Submission trigger et un Form Ending node qui retourne un fichier binaire. Ce qui se passe, c’est qu’en raison d’une validation d’entrée insuffisante, un attaquant non authentifié pourrait potentiellement accéder au système de fichiers sous-jacent. Imaginez la situation : un formulaire accessible publiquement, qui, si exploité correctement, pourrait permettre à un pirate de fouiller dans vos données sensibles.
Les conditions techniques de cette vulnérabilité sont assez précises. Pour qu’un workflow soit vulnérable, il doit avoir un Form Submission trigger qui permet la soumission de données et un Form Ending node qui renvoie un fichier binaire. Si ces éléments sont réunis, l’attaquant peut théoriquement obtenir un accès en lecture à des fichiers stockés sur le serveur. Cela signifie que, sous certaines configurations, il pourrait non seulement consulter des informations sensibles, mais aussi escalader ses privilèges au sein de l’instance n8n.
Entre nous, on le sait bien, faire appel à un consultant en automatisation intelligente et en agent IA, c’est souvent le raccourci le plus malin. On en parle ?
Le risque d’escalade de privilèges est particulièrement préoccupant. En effet, si un attaquant réussit à exploiter cette faille, il pourrait obtenir des droits d’accès qu’il ne devrait pas avoir, rendant la situation encore plus dangereuse. En résumé, non seulement vos données sont en jeu, mais la sécurité de l’ensemble de votre instance n8n peut être compromise.
La mise à jour vers la version 1.121.0, lancée le 18 novembre 2025, est donc impérative pour tous ceux qui utilisent les versions vulnérables. N’attendez pas que le mal soit fait pour agir. Pour plus d’informations sur cette faille, n’hésitez pas à consulter cet article sur Korben.info.
Qui est concerné et comment savoir si mon instance est vulnérable ?
La faille de sécurité dans n8n concerne principalement les utilisateurs d’instances self-hosted qui tournent sur les versions 1.65 à 1.120.4. Si vous utilisez cette configuration avec des workflows actifs intégrant à la fois un Form Submission trigger et un Form Ending node renvoyant un fichier binaire, vous êtes potentiellement vulnérable. En clair, si votre instance utilise ces éléments, il est impératif d’agir vite.
Les versions 1.121.0 et toutes les versions 2.x sont immunisées contre cette vulnérabilité, donc si vous êtes à jour, vous n’avez pas à vous inquiéter. Pour les utilisateurs d’instances cloud, pas de panique : vos systèmes ont déjà été mis à jour automatiquement et sont en sécurité.
Pour savoir si votre instance est vulnérable, la méthode la plus simple et fiable est d’utiliser le workflow template officiel fourni par n8n. Ce template va scanner votre instance et identifier les workflows susceptibles d’être exploités. C’est une démarche rapide et efficace qui peut vous éviter de gros soucis par la suite.
Ne sous-estimez pas l’importance de cette vérification. En cas d’exploitation de la faille, les conséquences peuvent être graves : accès non autorisé à des informations sensibles ou même une escalade de privilèges au sein de votre instance n8n. Assurez-vous donc de vérifier votre instance dès que possible pour éviter toute mauvaise surprise. Prenez le temps de le faire, car la sécurité de vos données en dépend.
Comment corriger et prévenir cette vulnérabilité efficacement ?
Pour sécuriser votre instance n8n face à la faille critique, la première chose à faire est de mettre à jour immédiatement votre version. Si vous êtes sur une version comprise entre 1.65 et 1.120.4, alors vous êtes vulnérable et la mise à jour vers la version 1.121.0, ou supérieure, est la seule solution pérenne. Pourquoi ? Parce que cette nouvelle version contient les correctifs nécessaires pour pallier la vulnérabilité signalée. En effet, les versions 2.x intègrent déjà ces correctifs, donc si vous avez déjà sauté le pas, vous êtes en sécurité.
Pour les utilisateurs de n8n en cloud, la bonne nouvelle est que les mises à jour sont automatiques. Cela signifie que votre instance sera sécurisée sans que vous ayez besoin de lever le petit doigt. En revanche, si vous êtes sur une instance self-hosted, la responsabilité de la mise à jour vous incombe. Ne laissez pas cette tâche traîner, car chaque minute passée sur une version vulnérable est une minute de trop.
En plus de la mise à jour, il est essentiel de revoir vos workflows, notamment ceux qui utilisent des formulaires et des fichiers binaires. Ces workflows sont particulièrement exposés aux risques d’exploitation. Pour vous aider, n’hésitez pas à exécuter un scan de votre instance en utilisant un modèle de workflow proposé par la communauté n8n pour détecter les workflows potentiellement vulnérables.
Voici un tableau synthétique pour vous aider à visualiser les actions à entreprendre :
- Version: 1.65 – 1.120.4
- Vulnérabilité: Critique (accès non authentifié)
- Action requise: Mise à jour vers 1.121.0 ou supérieure
- Version: 2.x
- Vulnérabilité: Aucune, correctif déjà intégré
- Action requise: Aucune action nécessaire
Enfin, il est important de souligner l’engagement de n8n envers la transparence et la sécurité continue. Leur programme de divulgation responsable montre qu’ils prennent au sérieux la sécurité de leurs utilisateurs, en priorisant la réponse aux rapports de vulnérabilité et en communiquant de manière proactive sur les problèmes de sécurité. Pour une vue d’ensemble sur cette vulnérabilité, vous pouvez consulter ce lien : bulletin de sécurité.
Alors, êtes-vous prêt à sécuriser votre instance n8n sans délai ?
Cette faille dans n8n versions 1.65 à 1.120.4 n’est pas à prendre à la légère : elle expose vos données et votre système à des accès non autorisés, avec des risques d’escalade de privilèges. La bonne nouvelle ? Le correctif est déjà là dans la version 1.121.0 et au-delà. Si vous êtes en self-hosted, ne tergiversez pas : mettez à jour votre instance maintenant. Vous gagnerez en sérénité, en sécurité, et éviterez un cauchemar potentiel. En restant vigilant et proactif, vous protégez vos workflows et vos données, essentiels pour votre activité.
FAQ
Comment savoir si mon instance n8n est vulnérable à cette faille ?
Quels sont les risques si la faille est exploitée ?
Comment corriger cette vulnérabilité ?
Pourquoi la communication sur cette faille a-t-elle été retardée ?
Comment suivre les futures mises à jour et vulnérabilités n8n ?
A propos de l’auteur
Franck Scandolera, expert en automatisation et sécurité des workflows IA, accompagne depuis des années les entreprises dans la sécurisation et l’optimisation de leurs systèmes n8n. Consultant et formateur reconnu, il partage sa passion pour l’intégration sécurisée de l’IA dans les process métier, en s’appuyant sur une expérience terrain solide et des pratiques éprouvées.
⭐ Expert et formateur en Tracking avancé, Analytics Engineering et Automatisation IA (n8n, Make) ⭐
- Ref clients : Logis Hôtel, Yelloh Village, BazarChic, Fédération Football Français, Texdecor…
Mon terrain de jeu :
- Data & Analytics engineering : tracking propre RGPD, entrepôt de données (GTM server, BigQuery…), modèles (dbt/Dataform), dashboards décisionnels (Looker, SQL, Python).
- Automatisation IA des taches Data, Marketing, RH, compta etc : conception de workflows intelligents robustes (n8n, Make, App Script, scraping) connectés aux API de vos outils et LLM (OpenAI, Mistral, Claude…).
- Engineering IA pour créer des applications et agent IA sur mesure : intégration de LLM (OpenAI, Mistral…), RAG, assistants métier, génération de documents complexes, APIs, backends Node.js/Python.