CVE-2026-21858

Plataforma de Automatización de Flujos de Trabajo n8n - Ejecución Remota de Código

Una herramienta de investigación de seguridad para detectar CVE-2026-21858, una vulnerabilidad crítica de ejecución remota de código en la plataforma de automatización de flujos de trabajo n8n.

---

Tabla de Contenidos

• Resumen de Vulnerabilidad
• Versiones Afectadas
• Análisis Técnico
• Requisitos Previos
• Instalación
• Uso
• Referencia de Salida
• Metodología de Detección
• Mitigación y Remedio
• Indicadores de Compromiso
• Aviso Legal
• Referencias
• Créditos

---

Resumen de Vulnerabilidad

Campo	Valor
Identificador CVE	CVE-2026-21858
Puntaje CVSS v3.1	10.0 (Crítico)
Vector CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Clasificación CWE	CWE-94: Control Inadecuado de la Generación de Código
Vendedor	n8n GmbH
Producto	Automatización de Flujos de Trabajo n8n
Fecha de Divulgación	Enero 2026
Parche Disponible	Sí (v1.121.0+)

Resumen Ejecutivo

Existe una vulnerabilidad crítica en las versiones de n8n 1.65.0 hasta 1.120.x que permite a atacantes remotos no autenticados ejecutar código arbitrario en el servidor subyacente. La vulnerabilidad se explota a través de flujos de trabajo basados en formularios especialmente diseñados, permitiendo el acceso no autorizado al sistema de archivos y la ejecución de comandos.

Evaluación de Impacto

• Confidencialidad: Compromiso completo de los datos del sistema
• Integridad: Modificación arbitraria de archivos y ejecución de código
• Disponibilidad: Posible toma de control total del sistema o denegación de servicio
• Alcance: Cambiado: la explotación puede afectar recursos más allá del componente vulnerable

---

Versiones Afectadas

Rango de Versiones	Estado
< 1.65.0	No Afectado
1.65.0 - 1.120.x	Vulnerable
>= 1.121.0	Parcheado

---

Análisis Técnico

Causa Raíz de la Vulnerabilidad

La vulnerabilidad se origina por una validación de entrada insuficiente en el motor de ejecución de flujos de trabajo basados en formularios. Al procesar datos proporcionados por el usuario a través de disparadores de formularios, n8n no sanitiza adecuadamente los parámetros de entrada antes de pasarlos a los contextos de ejecución internos.

Vector de Ataque

1. El atacante identifica una instancia de n8n accesible públicamente
2. La explotación se dirige a los endpoints de flujos de trabajo basados en formularios
3. Se inyectan cargas maliciosas a través de los campos de entrada del formulario
4. La carga se ejecuta con los privilegios de la cuenta de servicio de n8n
5. Se logra la lectura/escritura arbitraria de archivos y la ejecución de comandos

Complejidad de Explotación

• Requisitos Previos: Acceso de red a la instancia objetivo de n8n
• Autenticación: No requerida
• Interacción del Usuario: Ninguna
• Complejidad del Ataque: Baja

---

Requisitos Previos

Requisitos del Sistema

• Python 3.12 o superior
• Conectividad de red a la(s) instancia(s) objetivo de n8n
• Permisos suficientes para ejecutar scripts de Python

Dependencias

Paquete	Versión Mínima	Propósito
requests	2.31.0	Manejo de solicitudes HTTP
urllib3	2.0.0	Gestión de URL y conexiones
packaging	23.0	Lógica de comparación de versiones

---

Instalación

Método 1: Usando uv (Recomendado)

uv es un instalador y resolvedor de paquetes Python rápido.

# Clonar el repositorio
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Instalar dependencias y crear entorno virtual
uv sync

# Ejecutar la herramienta
uv run python main.py -u https://target.example.com

Método 2: Usando pip

# Clonar el repositorio
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Crear entorno virtual (recomendado)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# o
.\venv\Scripts\activate   # Windows

# Instalar dependencias
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Ejecutar la herramienta
python main.py -u https://target.example.com

Método 3: Instalación Manual

# Asegurarse de que Python 3.12+ esté instalado
python3 --version

# Instalar paquetes requeridos
pip install requests urllib3 packaging

# Descargar y ejecutar
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

---

Uso

Interfaz de Línea de Comandos

Usage:
    python main.py -u <target_url>        Escanear un solo objetivo
    python main.py -l <targets_file>      Escanear múltiples objetivos desde archivo

Arguments:
    -u    URL de un solo objetivo
    -l    Ruta al archivo que contiene las URLs objetivo (una por línea)

Escaneo de un Solo Objetivo

Probar una sola instancia de n8n para la vulnerabilidad:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

Escaneo Masivo

Escanear múltiples objetivos desde un archivo:

python main.py -l targets.txt

Formato del Archivo de Objetivos (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

Notas:

• Un objetivo por línea
• Las URLs sin un prefijo de protocolo por defecto usan https://
• Las líneas vacías se ignoran
• Los objetivos se escanean concurrentemente usando hilos

---

Referencia de Salida

Indicadores de Estado

Indicador	Color	Descripción
[VULNERABLE]	Verde	El objetivo ejecuta una versión vulnerable de n8n (1.65.0 - 1.120.x)
[SAFE]	Azul	El objetivo ejecuta una versión parcheada (>= 1.121.0 o < 1.65.0)
[WARNING]	Amarillo	Se detectó una instancia de n8n pero falló la extracción de versión
[ERROR]	Rojo	Fallo de conexión, tiempo de espera o objetivo que no es n8n

Metodología de Detección

Proceso de Huella Digital de Versión

La herramienta emplea detección de versión pasiva a través de los siguientes pasos:

1. Solicitud de Endpoint: Solicitud HTTP GET al endpoint /signin
2. Verificación de Instancia: Valida que el objetivo sea una instalación de n8n
3. Extracción de Configuración: Localiza la etiqueta meta n8n:config:sentry en el HTML
4. Decodificación Base64: Decodifica la configuración de Sentry incrustada
5. Análisis de Versión: Extrae la cadena de versión que coincide con el patrón [email protected]
6. Evaluación de Vulnerabilidad: Compara la versión extraída con el rango vulnerable conocido

Detalles de la Solicitud

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

---

Mitigación y Remedio

Acciones Inmediatas

1. Actualizar n8n: Actualizar a la versión 1.121.0 o posterior inmediatamente

   # Usando npm
   npm update -g n8n
   
   # Usando Docker
   docker pull n8nio/n8n:latest
   

2. Aislamiento de Red: Restringir el acceso a las instancias de n8n

   • Implementar reglas de firewall que limiten el acceso a rangos de IP confiables
   • Colocar n8n detrás de una VPN o proxy inverso con autenticación