CVE-2026-21858

منصة n8n لأتمتة سير العمل - تنفيذ عن بُعد للأكواد

أداة بحث أمني لاكتشاف CVE-2026-21858، وهي ثغرة تنفيذ أكواد عن بُعد خطيرة في منصة n8n لأتمتة سير العمل.

جدول المحتويات

• ملخص الثغرة
• الإصدارات المتأثرة
• التحليل الفني
• المتطلبات الأساسية
• التثبيت
• الاستخدام
• مرجع المخرجات
• منهجية الكشف
• التخفيف والمعالجة
• مؤشرات الاختراق
• إخلاء المسؤولية القانوني
• المراجع
• الإسناد

ملخص الثغرة

ملخص تنفيذي

توجد ثغرة خطيرة في إصدارات n8n من 1.65.0 إلى 1.120.x تسمح للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ أكواد عشوائية على الخادم الأساسي. يتم استغلال الثغرة من خلال سير عمل قائم على النماذج مُعد خصيصًا، مما يتيح الوصول غير المصرح به إلى نظام الملفات وتنفيذ الأوامر.

تقييم الأثر

• السرية: اختراق كامل لبيانات النظام
• السلامة: تعديل الملفات وتنفيذ الأكواد بشكل عشوائي
• التوفر: احتمالية السيطرة الكاملة على النظام أو تعطيل الخدمة
• النطاق: متغير - قد يؤثر الاستغلال على موارد خارج المكون المعرض للخطر

الإصدارات المتأثرة

التحليل الفني

السبب الجذري للثغرة

ينشأ الثغرة من التحقق غير الكافي من المدخلات في محرك تنفيذ سير العمل القائم على النماذج. عند معالجة البيانات المقدمة من المستخدم من خلال مشغلات النماذج، يفشل n8n في تعقيم معلمات الإدخال بشكل صحيح قبل تمريرها إلى سياقات التنفيذ الداخلية.

ناقل الهجوم

1. يحدد المهاجم مثيل n8n يمكن الوصول إليه علنًا
2. يستهدف الاستغلال نقاط نهاية سير العمل القائمة على النماذج
3. يتم حقن الحمولات الخبيثة من خلال حقول إدخال النموذج
4. يتم تنفيذ الحمولة بصلاحيات حساب خدمة n8n
5. يتم تحقيق القراءة/الكتابة التعسفية للملفات وتنفيذ الأوامر

تعقيد الاستغلال

• المتطلبات الأساسية: وصول شبكي إلى مثيل n8n المستهدف
• المصادقة: غير مطلوبة
• تفاعل المستخدم: لا شيء
• تعقيد الهجوم: منخفض

المتطلبات الأساسية

متطلبات النظام

• Python 3.12 أو أعلى
• اتصال شبكي بمثيل (مثيلات) n8n المستهدفة
• صلاحيات كافية لتشغيل نصوص Python

التبعيات

التثبيت

الطريقة الأولى: باستخدام uv (موصى به)

uv هو مثبت حزم Python سريع ومحلل للتبعيات.

# استنساخ المستودع
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# تثبيت التبعيات وإنشاء بيئة افتراضية
uv sync

# تشغيل الأداة
uv run python main.py -u https://target.example.com

الطريقة الثانية: باستخدام pip

# استنساخ المستودع
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# إنشاء بيئة افتراضية (موصى به)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# أو
.\venv\Scripts\activate   # Windows

# تثبيت التبعيات
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# تشغيل الأداة
python main.py -u https://target.example.com

الطريقة الثالثة: التثبيت اليدوي

# تأكد من تثبيت Python 3.12+
python3 --version

# تثبيت الحزم المطلوبة
pip install requests urllib3 packaging

# التنزيل والتشغيل
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

الاستخدام

واجهة سطر الأوامر

الاستخدام:
    python main.py -u <target_url>        فحص هدف واحد
    python main.py -l <targets_file>      فحص أهداف متعددة من ملف

الوسائط:
    -u    عنوان URL هدف واحد
    -l    مسار ملف يحتوي على عناوين URL للأهداف (هدف واحد في كل سطر)

فحص هدف واحد

اختبار مثيل n8n واحد للثغرة:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

فحص أهداف متعددة

فحص أهداف متعددة من ملف:

python main.py -l targets.txt

تنسيق ملف الأهداف (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

ملاحظات:

• هدف واحد في كل سطر
• عناوين URL بدون بادئة بروتوكول تعامل كـ https:// افتراضيًا
• يتم تجاهل الأسطر الفارغة
• يتم فحص الأهداف بشكل متزامن باستخدام خيوط المعالجة

مرجع المخرجات

مؤشرات الحالة

منهجية الكشف

عملية بصمة الإصدار

تستخدم الأداة الكشف السلبي للإصدار من خلال الخطوات التالية:

1. طلب نقطة النهاية: طلب HTTP GET إلى نقطة النهاية /signin
2. التحقق من المثيل: التأكد من أن الهدف هو تثبيت n8n
3. استخراج الإعدادات: تحديد وسوم n8n:config:sentry في HTML
4. فك تشفير Base64: فك تشفير إعدادات Sentry المضمنة
5. تحليل الإصدار: استخراج سلسلة الإصدار المطابقة للنمط [email protected]
6. تقييم الثغرة: مقارنة الإصدار المستخرج مع النطاق المعروف المعرض للخطر

تفاصيل الطلب

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

التخفيف والمعالجة

الإجراءات الفورية

1. ترقية n8n: التحديث إلى الإصدار 1.121.0 أو أحدث فورًا

   root@kitploit:~

   # باستخدام npm
   npm update -g n8n
   
   # باستخدام Docker
   docker pull n8nio/n8n:latest
   

2. عزل الشبكة: تقييد الوصول إلى مثيلات n8n

   • تنفيذ قواعد جدار حماية تقيد الوصول إلى نطاقات IP موثوقة
   • وضع n8n خلف VPN أو خادم وكيل عكسي مع مصادقة

3. تدقيق سير العمل: مراجعة جميع سير العمل الحالي

   • تحديد وتعطيل سير العمل القائمة على النماذج مؤقتًا
   • تدقيق نقاط نهاية webhook للوصول غير المصرح به

التوصيات طويلة المدى

التحقق بعد التصحيح

# التحقق من إصدار n8n بعد التحديث
n8n --version

# أو التحقق عبر هذه الأداة
python main.py -u https://your-n8n-instance.com
# متوقع: [SAFE] ... Version: 1.121.0+ (غير معرض للخطر)

مؤشرات الاختراق

تحليل السجلات

مراجعة سجلات n8n وسجلات خادم الويب بحثًا عن الأنماط التالية:

• طلبات POST غير معتادة إلى نقاط نهاية مشغل النماذج
• طلبات تحتوي على حمولات مشفرة في حقول النموذج
• محاولات وصول إلى مسارات ملفات حساسة عبر بيانات النموذج
• اتصالات صادرة غير متوقعة من خادم n8n

آثار نظام الملفات

• ملفات غير مصرح بها في أدلة عمل n8n
• ملفات إعدادات سير عمل معدلة
• نصوص أو ملفات تنفيذية غير متوقعة

مؤشرات الشبكة

• اتصالات بمضيفات خارجية غير معروفة
• أنماط تسريب بيانات
• اتصالات شل عكسي تنشأ من عملية n8n

إخلاء المسؤولية القانوني

هام: اقرأ قبل الاستخدام

يتم توفير هذه الأداة حصريًا من أجل:

• تقييمات أمنية مصرح بها
• اختبارات الاختراق بإذن كتابي
• الأغراض التعليمية والبحثية
• عمليات الأمن الدفاعي

الاستخدامات المحظورة:

• الوصول غير المصرح به إلى أنظمة الكمبيوتر
• استغلال الأنظمة دون موافقة كتابية صريحة
• أي نشاط يخالف القوانين أو اللوائح المعمول بها

المسؤولية: لا يتحمل المؤلفون والمساهمون أي مسؤولية عن سوء استخدام هذا البرنامج. يتحمل المستخدمون وحدهم مسؤولية ضمان الامتثال لجميع القوانين المعمول بها والحصول على التفويض المناسب قبل إجراء أي اختبار أمني.

إشعار قانوني: الوصول غير المصرح به إلى أنظمة الكمبيوتر هو جريمة جنائية في معظم الولايات القضائية، بما في ذلك على سبيل المثال لا الحصر انتهاكات قانون الاحتيال وإساءة استخدام الكمبيوتر (CFAA) في الولايات المتحدة، وقانون إساءة استخدام الكمبيوتر في المملكة المتحدة، والتشريعات المماثلة في جميع أنحاء العالم.

المراجع

الموارد الرسمية

• الموقع الرسمي لـ n8n
• مستودع n8n على GitHub
• التنبيهات الأمنية لـ n8n

قواعد بيانات الثغرات

• NVD - CVE-2026-21858
• سجل CVE من MITRE

الوثائق ذات الصلة

• CWE-94: التحكم غير السليم في توليد الأكواد
• حقن الأكواد من OWASP

الإسناد

• البحث الأصلي: استنادًا إلى قالب Nuclei بواسطة rxerium
• الإطار: جزء من إطار HGrab
• المشرفون: مجتمع أبحاث الأمن

سجل التغييرات

الرخصة

يتم توفير هذا المشروع كما هو لأغراض البحث الأمني المصرح بها فقط. لا يتم تقديم أي ضمان، صريح أو ضمني. استخدم على مسؤوليتك الخاصة ووفقًا للقوانين المعمول بها.