CVE-2025-68613 : Vulnérabilité critique n8n (CVSS 9.9) et risque d'exécution de code arbitraire

Une faille de sécurité critique a été découverte dans la plateforme d’automatisation de workflows n8n, affectant des milliers d’instances à l’échelle mondiale. Avec un score CVSS de 9.9/10, cette vulnérabilité, identifiée comme CVE-2025-68613, permet potentiellement une exécution de code arbitraire (RCE) par des utilisateurs authentifiés.

En cette fin d’année 2025, l’écosystème des automations low-code est de plus en plus ciblé par des chercheurs en sécurité et des acteurs malveillants. Selon les statistiques npm, le package n8n enregistre environ 57 000 téléchargements hebdomadaires, ce qui souligne l’ampleur potentielle de cette exposition. Si vous gérez des workflows n8n, la mise à jour vers les versions corrigées est impérative.

Analyse de la vulnérabilité CVE-2025-68613

Nature technique de la faille

La vulnérabilité réside dans la manière dont n8n évalue les expressions dynamiques. Les mainteneurs du package ont précisé que “sous certaines conditions, les expressions fournies par des utilisateurs authentifiés lors de la configuration du workflow peuvent être évaluées dans un contexte d’exécution qui n’est pas suffisamment isolé du runtime sous-jacent”.

Concrètement, cela signifie qu’un utilisateur ayant le droit de créer ou de modifier un workflow peut injecter du code malveillant qui sera exécuté par le processus n8n lui-même. L’isolation de sécurité entre l’interpréteur d’expressions et le système d’exploitation est défaillante.

Impact potentiel pour les organisations

Les conséquences d’une exploitation réussie sont graves :

• Compromission totale de l’instance : L’attaquant prend le contrôle du serveur hébergeant n8n.
• Accès aux données sensibles : Vols de secrets, clés API, bases de données connectées aux workflows.
• Modification des workflows : Alteration des processus métier ou injection de portes dérobées (backdoors).
• Opérations système : Exécution de commandes système avec les privilèges du processus n8n.

Portée de l’attque : qui est affecté ?

Versions vulnérables

La faille affecte toutes les versions comprises entre 0.211.0 (inclus) et 1.120.4 (exclus). Il s’agit d’une large fenêtre de versions, couvrant de nombreuses installations en production.

Les versions corrigées sont les suivantes :

1. 1.120.4 (branche de correction)
2. 1.121.1
3. 1.122.0 (version la plus récente)

Statistiques d’exposition (Décembre 2025)

Selon les données de la plateforme de gestion de la surface d’attaque Censys, le nombre d’instances potentiellement vulnérables est alarmant. Au 22 décembre 2025, 103 476 instances sont identifiées comme accessibles sur Internet.

La répartition géographique montre une forte présence dans les pays suivants :

• États-Unis
• Allemagne
• France
• Brésil
• Singapour

Cette répartition suggère que de nombreuses entreprises européennes et françaises sont directement concernées.

Procédure de mitigation et correctifs

Mise à jour immédiate (Patch)

La solution la plus sûre et recommandée par l’ANSSI et les éditeurs de logiciels open source est l’application du correctif. Il est impératif de migrer vers l’une des versions sécurisées mentionnées ci-dessus.

En pratique, pour les environnements Docker ou npm, la commande de mise à jour doit être exécutée dès que possible. Néanmoins, il est crucial de tester les workflows existants après la mise à jour pour éviter toute régression fonctionnelle.

Mesures de contournement si le patch est impossible

Si une mise à jour immédiate n’est pas techniquement réalisable (en raison de dépendances spécifiques ou de processus de validation lents), des mesures de réduction des risques doivent être mises en place :

1. Restreindre les permissions : Limitez strictement la création et l’édition des workflows aux utilisateurs de confiance (trusted users). Supprimez les droits d’écriture pour les comptes standards.
2. Harden l’environnement : Déployez n8n dans un environnement sécurisé. Utilisez des conteneurs avec des privilèges restreints et limitez l’accès réseau sortant (firewall) pour empêcher le reverse shell.
3. Surveillance accrue : Mettez en place une surveillance des logs pour détecter toute tentative d’injection d’expression suspecte.

Conseils de sécurité pour les workflows low-code

L’importance de l’isolation des privilèges

Cette faille rappelle une règle d’or en cybersécurité : la surface d’attaque interne est aussi critique que la surface externe. Un utilisateur authentifié, qu’il soit légitime ou compromis (insider threat), représente un risque majeur dans les plateformes d’automatisation.

Il est recommandé de suivre les principes du moindre privilège (Principle of Least Privilege). Un développeur n’a pas besoin de droits d’administration sur un workflow de production s’il ne fait que de la maintenance.

Comparaison avec d’autres failles récentes (2025)

Comme le montre ce tableau, la complexité d’exploitation de la faille n8n est faible pour un attaquant, ce qui augmente le niveau de dangerosité.

Mini-cas : Scénario d’exploitation

Imaginez une entreprise utilisant n8n pour automatiser ses tâches administratives. Un employé du service marketing, dont le compte a été compromis par phishing, a accès à l’interface n8n.

Au lieu de créer une simple automation d’envoi d’email, il insère une expression contenant une fonction malveillante (par exemple, une exécution de script shell via une librairie Node.js malveillante). Puisque le runtime n8n n’est pas isolé, cette expression s’exécute avec les droits du service n8n.

L’attaquant obtient alors un accès shell au serveur, vole les secrets d’environnement (clés AWS, mots de passe BDD) et se propage latéralement dans le réseau interne de l’entreprise.

Liste de vérification de sécurité (Checklist)

Pour les administrateurs système et les responsables de la sécurité des applications (AppSec), voici les actions à entreprendre :

• Identifier : Scanner l’inventaire pour trouver les instances n8n.
• Versionner : Vérifier la version actuellement déployée.
• Patcher : Mettre à jour vers 1.120.4, 1.121.1 ou 1.122.0 immédiatement.
• Auditer : Revoir les logs d’accès et les expressions utilisées récemment.
• Durcir : Appliquer des politiques RBAC (Role-Based Access Control) strictes.

Conclusion : L’automatisation ne doit pas rimer avec vulnérabilité

La découverte de CVE-2025-68613 met en lumière les risques liés à la démocratisation de l’automatisation via des outils comme n8n. Si ces outils offrent une flexibilité inégalée pour les équipes métier, ils introduisent également des vecteurs d’attaque complexes.

En 2025, la sécurité des chaînes d’outils de développement et d’automatisation (DevSecOps) est devenue un axe prioritaire. Ne pas patcher cette vulnérabilité revient à laisser la porte ouverte à une compromission quasi-certaine.

Action immédiate : Vérifiez la version de votre instance n8n et planifiez la mise à jour en priorité zero dans votre cycle de déploiement.