---

📖 Tabla de Contenidos

• Descripción general
• Detalles técnicos
• Severidad y CVSS
• Versiones afectadas
• Impacto
• Explotación
• Detección
• Remediación
• Mitigación
• Resumen

---

🔎 Descripción general

CVE-2026-21858, apodada «Ni8mare», es una vulnerabilidad crítica descubierta en n8n, una plataforma popular para construir flujos de trabajo de automatización (p. ej., automatizar llamadas a API, integraciones y conectores SaaS).

Permite a atacantes remotos no autenticados interactuar con endpoints de webhook/formulario validados incorrectamente y obtener acceso no autorizado a archivos y recursos internos del servidor.

Una explotación exitosa puede llevar a la ejecución remota de código (RCE) completa y a la toma total de la instancia.

---

🧠 Detalles técnicos

• Causa raíz: Validación de entrada inadecuada y confusión de Content-Type en la lógica de manejo de webhook/formulario.
• Los atacantes pueden enviar solicitudes HTTP manipuladas que engañan al sistema para exponer contenidos de archivos o desencadenar flujos de trabajo inseguros.
• La falla permite a los atacantes:
  • Leer archivos arbitrarios del host
  • Exponer credenciales y tokens sensibles
  • Forjar tokens de sesión de administrador
  • Abusar de nodos de flujo de trabajo (p. ej., Execute Command) para ejecutar comandos arbitrarios del sistema operativo
  • Comprometer completamente la instancia del servidor

---

📊 Severidad y CVSS

Esto representa la severidad máxima posible para una falla de ejecución remota de código.

---

📦 Versiones afectadas

La vulnerabilidad afecta a la plataforma n8n de código abierto:

= 1.65.0 and < 1.121.0

id="vsurvey1"

Todas las instancias autoalojadas que ejecutan versiones anteriores a 1.121.0 son vulnerables.

---

🔥 Impacto

Un atacante que explote esta vulnerabilidad puede:

• 🔓 Leer archivos arbitrarios del sistema
• 🔑 Exponer credenciales de base de datos, claves de API y tokens
• 🔐 Forjar sesiones de autenticación
• 🛠 Ejecutar comandos arbitrarios del sistema
• 💥 Comprometer completamente la máquina host
• ↔ Pivotar hacia sistemas e integraciones conectados

Las instancias expuestas a Internet pública corren un riesgo especialmente alto.

---

🧨 Explotación

Esta vulnerabilidad es:

• Remota: No se necesitan restricciones de red más allá del acceso a los endpoints de webhook/formulario
• No autenticada: No se requiere inicio de sesión ni credenciales
• De baja complejidad: Es fácil para los atacantes crear solicitudes de explotación

La evidencia de escaneos por Internet sugiere que decenas de miles de instancias potencialmente expuestas siguen siendo accesibles en línea.

---

🔍 Detección

Esté atento a:

• Solicitudes HTTP inesperadas con cabeceras Content-Type inusuales
• Patrones de acceso a endpoints de webhook/formulario desde fuentes no confiables
• Acceso a archivos sospechoso o registros de ejecución de nodos
• Registros del servidor web que muestren ejecuciones anormales de flujos de trabajo

---

🛠 Remediación

✅ Aplique el parche de inmediato

Actualice n8n a la versión 1.121.0 o posterior: esta versión incluye la corrección para CVE-2026-21858.

1. Detenga su instancia actual de n8n
2. Actualice a 1.121.0+
3. Reinicie el servicio
4. Valide que no queden nodos expuestos sin parchear

---

🧱 Mitigación temporal (si el parche se retrasa)

Mientras actualiza, reduzca la exposición:

• Restrinja el acceso externo a los endpoints de webhook y formulario
• Exija autenticación para todas las solicitudes entrantes
• Use reglas de firewall para limitar el tráfico entrante
• Desactive los webhooks públicos hasta aplicar el parche

---

🔐 Lista de verificación de seguridad

• Ejecute n8n ≥ 1.121.0
• Restrinja el acceso de red a IPs de confianza
• Rote todos los secretos almacenados (claves de API/tokens/credenciales)
• Revise las definiciones de flujos de trabajo en busca de contenido inseguro
• Audite los registros de acceso en busca de intentos de explotación

---

📌 Resumen

---

⚠️ Aviso final

Si ejecuta n8n **en cualquier lugar — especialmente instancias autoalojadas y expuestas a Internet — aplique el parche **a la versión 1.121.0 o superior inmediatamente. El riesgo de compromiso total del sistema es alto, y los exploits automatizados son posibles dados los detalles públicos de este problema.