CVE-2026-21858

Plataforma de Automatización de Flujos de Trabajo n8n - Ejecución Remota de Código

Una herramienta de investigación de seguridad para detectar CVE-2026-21858, una vulnerabilidad crítica de ejecución remota de código en la plataforma de automatización de flujos de trabajo n8n.

Tabla de Contenidos

• Resumen de Vulnerabilidad
• Versiones Afectadas
• Análisis Técnico
• Requisitos Previos
• Instalación
• Uso
• Referencia de Salida
• Metodología de Detección
• Mitigación y Remedio
• Indicadores de Compromiso
• Aviso Legal
• Referencias
• Créditos

Resumen de Vulnerabilidad

Resumen Ejecutivo

Existe una vulnerabilidad crítica en las versiones de n8n 1.65.0 hasta 1.120.x que permite a atacantes remotos no autenticados ejecutar código arbitrario en el servidor subyacente. La vulnerabilidad se explota a través de flujos de trabajo basados en formularios especialmente diseñados, permitiendo el acceso no autorizado al sistema de archivos y la ejecución de comandos.

Evaluación de Impacto

• Confidencialidad: Compromiso completo de los datos del sistema
• Integridad: Modificación arbitraria de archivos y ejecución de código
• Disponibilidad: Posible toma de control total del sistema o denegación de servicio
• Alcance: Cambiado: la explotación puede afectar recursos más allá del componente vulnerable

Versiones Afectadas

Análisis Técnico

Causa Raíz de la Vulnerabilidad

La vulnerabilidad se origina por una validación de entrada insuficiente en el motor de ejecución de flujos de trabajo basados en formularios. Al procesar datos proporcionados por el usuario a través de disparadores de formularios, n8n no sanitiza adecuadamente los parámetros de entrada antes de pasarlos a los contextos de ejecución internos.

Vector de Ataque

1. El atacante identifica una instancia de n8n accesible públicamente
2. La explotación se dirige a los endpoints de flujos de trabajo basados en formularios
3. Se inyectan cargas maliciosas a través de los campos de entrada del formulario
4. La carga se ejecuta con los privilegios de la cuenta de servicio de n8n
5. Se logra la lectura/escritura arbitraria de archivos y la ejecución de comandos

Complejidad de Explotación

• Requisitos Previos: Acceso de red a la instancia objetivo de n8n
• Autenticación: No requerida
• Interacción del Usuario: Ninguna
• Complejidad del Ataque: Baja

Requisitos Previos

Requisitos del Sistema

• Python 3.12 o superior
• Conectividad de red a la(s) instancia(s) objetivo de n8n
• Permisos suficientes para ejecutar scripts de Python

Dependencias

Instalación

Método 1: Usando uv (Recomendado)

uv es un instalador y resolvedor de paquetes Python rápido.

# Clonar el repositorio
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Instalar dependencias y crear entorno virtual
uv sync

# Ejecutar la herramienta
uv run python main.py -u https://target.example.com

Método 2: Usando pip

# Clonar el repositorio
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Crear entorno virtual (recomendado)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# o
.\venv\Scripts\activate   # Windows

# Instalar dependencias
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Ejecutar la herramienta
python main.py -u https://target.example.com

Método 3: Instalación Manual

# Asegurarse de que Python 3.12+ esté instalado
python3 --version

# Instalar paquetes requeridos
pip install requests urllib3 packaging

# Descargar y ejecutar
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

Uso

Interfaz de Línea de Comandos

Usage:
    python main.py -u <target_url>        Escanear un solo objetivo
    python main.py -l <targets_file>      Escanear múltiples objetivos desde archivo

Arguments:
    -u    URL de un solo objetivo
    -l    Ruta al archivo que contiene las URLs objetivo (una por línea)

Escaneo de un Solo Objetivo

Probar una sola instancia de n8n para la vulnerabilidad:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

Escaneo Masivo

Escanear múltiples objetivos desde un archivo:

python main.py -l targets.txt

Formato del Archivo de Objetivos (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

Notas:

• Un objetivo por línea
• Las URLs sin un prefijo de protocolo por defecto usan https://
• Las líneas vacías se ignoran
• Los objetivos se escanean concurrentemente usando hilos

Referencia de Salida

Indicadores de Estado

Metodología de Detección

Proceso de Huella Digital de Versión

La herramienta emplea detección de versión pasiva a través de los siguientes pasos:

1. Solicitud de Endpoint: Solicitud HTTP GET al endpoint /signin
2. Verificación de Instancia: Valida que el objetivo sea una instalación de n8n
3. Extracción de Configuración: Localiza la etiqueta meta n8n:config:sentry en el HTML
4. Decodificación Base64: Decodifica la configuración de Sentry incrustada
5. Análisis de Versión: Extrae la cadena de versión que coincide con el patrón [email protected]
6. Evaluación de Vulnerabilidad: Compara la versión extraída con el rango vulnerable conocido

Detalles de la Solicitud

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

Mitigación y Remedio

Acciones Inmediatas

1. Actualizar n8n: Actualizar a la versión 1.121.0 o posterior inmediatamente

   root@kitploit:~

   # Usando npm
   npm update -g n8n
   
   # Usando Docker
   docker pull n8nio/n8n:latest
   

2. Aislamiento de Red: Restringir el acceso a las instancias de n8n

   • Implementar reglas de firewall que limiten el acceso a rangos de IP confiables
   • Colocar n8n detrás de una VPN o proxy inverso con autenticación

3. Auditoría de Flujos de Trabajo: Revisar todos los flujos de trabajo existentes

   • Identificar y deshabilitar temporalmente los flujos de trabajo basados en formularios
   • Auditar los endpoints de webhook para detectar acceso no autorizado

Recomendaciones a Largo Plazo

Verificación Después del Parcheo

# Verificar la versión de n8n después de la actualización
n8n --version

# O verificar a través de esta herramienta
python main.py -u https://tu-instancia-n8n.com
# Esperado: [SAFE] ... Version: 1.121.0+ (no vulnerable)

Indicadores de Compromiso

Análisis de Registros

Revisar los registros de n8n y del servidor web en busca de los siguientes patrones:

• Solicitudes POST inusuales a los endpoints de disparadores de formularios
• Solicitudes que contengan cargas útiles codificadas en los campos de formulario
• Intentos de acceso a rutas de archivos sensibles a través de datos de formulario
• Conexiones salientes inesperadas desde el servidor n8n

Artefactos del Sistema de Archivos

• Archivos no autorizados en los directorios de trabajo de n8n
• Archivos de configuración de flujos de trabajo modificados
• Scripts o ejecutables inesperados

Indicadores de Red

• Conexiones a hosts externos desconocidos
• Patrones de exfiltración de datos
• Conexiones de shell inversa originadas desde el proceso de n8n

Aviso Legal

IMPORTANTE: LEA ANTES DE USAR

Esta herramienta se proporciona estrictamente para:

• Evaluaciones de seguridad autorizadas
• Pruebas de penetración con permiso por escrito
• Fines educativos y de investigación
• Operaciones de seguridad defensiva

Usos Prohibidos:

• Acceso no autorizado a sistemas informáticos
• Explotación de sistemas sin consentimiento explícito por escrito
• Cualquier actividad que infrinja las leyes o regulaciones aplicables

Responsabilidad: Los autores y contribuyentes no asumen ninguna responsabilidad por el mal uso de este software. Los usuarios son los únicos responsables de garantizar el cumplimiento de todas las leyes aplicables y de obtener la autorización adecuada antes de realizar cualquier prueba de seguridad.

Aviso Legal: El acceso no autorizado a sistemas informáticos es un delito penal en la mayoría de las jurisdicciones, incluidas, entre otras, las violaciones de la Ley de Fraude y Abuso Informático (CFAA) en los Estados Unidos, la Ley de Uso Indebido de Computadoras en el Reino Unido y legislaciones similares en todo el mundo.

Referencias

Recursos Oficiales

• Sitio web oficial de n8n
• Repositorio de GitHub de n8n
• Avisos de seguridad de n8n

Bases de Datos de Vulnerabilidades

• NVD - CVE-2026-21858
• Registro CVE de MITRE

Documentación Relacionada

• CWE-94: Control Inadecuado de la Generación de Código
• Inyección de Código de OWASP

Créditos

• Investigación Original: Basado en la plantilla de Nuclei por rxerium
• Framework: Parte del HGrab Framework
• Mantenedores: Comunidad de Investigación en Seguridad

Registro de Cambios

Licencia

Este proyecto se proporciona tal cual para fines autorizados de investigación en seguridad únicamente. No se proporciona ninguna garantía, explícita o implícita. Úselo bajo su propio riesgo y de acuerdo con las leyes aplicables.