CVE-2026-56357

5.3 Moyenne

Publiée le 23/06/2026 à 00:16 · Modifiée le 24/06/2026 à 18:47 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

n8n before 1.123.15 and 2.5.0 contains a webhook forgery vulnerability in the GitHub Webhook Trigger node that fails to implement HMAC-SHA256 signature verification. Attackers who know the webhook URL can send unsigned POST requests to trigger workflows with arbitrary data, spoofing GitHub webhook events.

Traduire en français

Produits concernés

n8n
N8n n8n

Scores CVSS

Version	Score	Source	Vecteur
4.0	6.3 Moyenne	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	4.0 Moyenne	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:L/A:N`
3.1	5.3 Moyenne	nvd@nist.gov (NVD)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N`

Faiblesses (CWE)

CWE-290

Références

https://github.com/n8n-io/n8n/security/advisories/GHSA-mqpr-49jj-32rc Vendor Advisory
https://www.vulncheck.com/advisories/n8n-webhook-forgery-via-missing-hmac-sha256-signature-verification-in-github-webhook-trigger Third Party Advisory

CVE-2026-56357

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs