n8n Ni8mare : faille critique sans connexion, mettez à jour n8n auto-hébergé

En janvier 2026, n8n a publié un avis pour la faille CVE-2026-21858, surnommée Ni8mare par les chercheurs de Cyera qui l'ont signalée. Elle est notée 10 sur 10. Au moyen de certains workflows basés sur des formulaires, un attaquant sans compte pouvait lire des fichiers sur le serveur qui fait tourner n8n. Ces fichiers peuvent contenir les secrets dont n8n a besoin, et Rapid7 explique que cette lecture de fichiers peut servir à fabriquer une session d'administrateur pour aller plus loin. Du code de démonstration a été publié le jour même, dont un qui combine cette faille avec la faille d'exécution de code CVE-2025-68613 (voir notre alerte dédiée).

Le correctif avait été livré plus tôt, dans n8n 1.121.0 le 18 novembre 2025 : les instances mises à jour régulièrement étaient donc protégées avant l'annonce.

Qui est concerné

Les instances n8n auto-hébergées de la version 1.65.0 jusqu'à la version 1.121.0 exclue, en particulier celles qui ont des formulaires ou des webhooks publics, par exemple un formulaire de contact, une demande de soumission ou un clavardage qui alimente un workflow. Si vous utilisez le service infonuagique hébergé par n8n, vérifiez votre version dans l'interface ou auprès du support de n8n.

Comment vérifier votre site

Demandez à votre développeur si vos formulaires, robots conversationnels ou automatisations passent par n8n, et où il est hébergé. Vérifiez la version de n8n dans l'interface ou dans l'étiquette de l'image Docker. Si l'adresse de votre n8n s'ouvre depuis n'importe où sur Internet, considérez-la comme exposée.

Quoi faire maintenant

• Mettez n8n à jour vers la dernière version. La version 1.121.0 corrige cette faille, mais d'autres avis publiés par n8n en 2026 exigent des versions plus récentes (par exemple 1.123.17 ou 2.5.2 pour la faille CVE-2026-25049) : ne vous arrêtez donc pas au minimum.
• Si vous ne pouvez pas mettre à jour tout de suite, l'avis conseille de restreindre ou de désactiver les webhooks et formulaires accessibles publiquement en attendant. Il n'existe pas de contournement officiel.
• Si votre instance était publique et pas à jour en 2026, demandez à votre développeur de changer les secrets enregistrés dans n8n (clés d'API, comptes connectés, mots de passe de courriel et de base de données) et de vérifier les utilisateurs et les workflows.
• Les instances mises à jour depuis la fin novembre 2025 sont très probablement protégées contre cette faille, mais vérifiez la version.

Cette alerte rapporte ce que les sources ont publié et ne constitue pas une garantie pour un site en particulier.