[CVE-2026-21858] Ni8mare: n8n Authentication Bypass & Remote Code Execution

1. Überblick über die Schwachstelle

• Name: Ni8mare
• CVE-ID: CVE-2026-21858
• CVSS-Score: 10.0 (Kritisch)
• Schwachstellentyp: Authentication Bypass, Local File Inclusion (LFI), Remote Code Execution (RCE)
• Betroffene Versionen: n8n-Versionen 1.65.0 und früher
• Patch-Version: n8n 1.121.0 (veröffentlicht im November 2025)

2. Beschreibung der Schwachstelle Diese kritische Schwachstelle ermöglicht es entfernten, nicht authentifizierten Angreifern, über formularbasierte Workflows unbefugten Zugriff auf Serverdateien zu erlangen. Diese Local File Inclusion (LFI) legt sensible Daten offen und bietet einen Ausgangspunkt für eine tiefere Systeminfiltration.

3. Technische Analyse Die Grundursache von CVE-2026-21858 liegt im Mechanismus, den n8n zur Verarbeitung von Webhooks und hochgeladenen Daten verwendet. Mechanismus des Versagens

   • Content-Type-Behandlung: Beim Empfang einer HTTP-Anfrage analysiert n8n den Inhalt basierend auf dem Content-Type-Header, um zu entscheiden, wie die Daten verarbeitet werden.
   • Validierungslücke: Bestimmte Dateiverarbeitungsfunktionen innerhalb von Workflows prüfen den Content-Type nicht ausreichend, bevor sie Dateidaten manipulieren.
   • Variablenmanipulation: Dieses Versehen ermöglicht es einem Angreifer, die Variable zu kontrollieren, die Dateiinformationen enthält, und beliebige Pfade auf dem System anzugeben, wodurch die Upload-Funktion effektiv in einen unbefugten lokalen Dateilesemechanismus umgewandelt wird.
   • Anfällige Logik: In einem normalen Ablauf verwendet n8n Formidable, um multipart/form-data-Uploads sicher in zufällige temporäre Pfade zu parsen. Wenn ein Angreifer jedoch den Content-Type in application/json ändert, verwendet n8n einen anderen Parser (parseBody()), der req.body.files direkt mit vom Benutzer kontrollierten Werten befüllt, einschließlich beliebiger Dateipfade.