n8nのバージョン1.123.15以前および2.5.0には、GitHub Webhook TriggerノードでHMAC-SHA256署名検証を実装していないウェブフック改ざんの脆弱性があります。攻撃者はウェブフックのURLを知っていれば、署名なしのPOSTリクエストを送信して任意のデータでワークフローをトリガーし、GitHubウェブフックイベントを偽装できます。

ベンダ情報を参照して適切な対策を実施してください。