La semaine du 18 au 24 mai 2026 est marquée par cinq vulnérabilités critiques sans exploitation active confirmée à ce stade. La priorité absolue est CVE-2026-24207, un contournement d'authentification non authentifié et exploitable à distance sur NVIDIA Triton Inference Server, qui menace directement les infrastructures d'inférence IA : appliquer r26.03 sans délai et restreindre l'exposition réseau. Les quatre failles n8n (pollution de prototype menant à l'exécution de code) exigent une authentification mais doivent être corrigées rapidement sur tout déploiement exposé. En arrière-plan, restez vigilants : les CVE Cisco Catalyst SD-WAN (CVE-2026-20182, CVSS 10, exploitée) et Trend Micro Apex One (CVE-2026-34926, KEV) de la semaine précédente font l'objet d'attaques actives — vérifiez qu'elles sont bien corrigées.
Contournement d'authentification (CWE-288) dans le serveur d'inférence NVIDIA Triton. Un attaquant non authentifié, à distance et sans interaction utilisateur, peut accéder à des fonctions protégées. L'exploitation peut conduire à l'exécution de code, l'élévation de privilèges, l'altération de données, le déni de service ou la divulgation d'informations.
Toutes les versions antérieures à la release r26.03 (déploiements Linux et Windows).
Pollution de prototype dans la bibliothèque xml2js utilisée pour analyser les corps XML du gestionnaire de webhook n8n. Un utilisateur authentifié disposant du droit de créer/modifier des workflows peut envoyer une charge XML conçue pour obtenir l'exécution de code à distance sur l'hôte n8n.
n8n antérieur aux versions 1.123.32, 2.17.4 et 2.18.1.
Pollution de prototype globale via le nœud XML de n8n. Un utilisateur authentifié peut corrompre le prototype d'objet du processus, ouvrant la voie à l'exécution de code à distance et à la compromission de l'instance.
n8n antérieur aux versions 1.123.32, 2.17.4 et 2.18.1.
Contournement du correctif de CVE-2026-42232 : la mitigation initiale de la pollution de prototype via le nœud XML pouvait être contournée, rétablissant un chemin vers l'exécution de code à distance pour un utilisateur authentifié.
Instances n8n corrigées uniquement contre CVE-2026-42232 mais non mises à jour vers la version intégrant le correctif complet.
Pollution de prototype via un paramètre de pagination non validé dans le nœud HTTP Request de n8n, menant à l'exécution de code à distance pour un utilisateur authentifié capable de créer/modifier des workflows.
n8n antérieur aux versions 1.123.43, 2.20.7 et 2.22.1.