CVE-2026-21858

Plateforme d'automatisation de workflows n8n - Exécution de code à distance

Un outil de recherche en sécurité pour détecter CVE-2026-21858, une vulnérabilité critique d'exécution de code à distance dans la plateforme d'automatisation de workflows n8n.

---

Table des matières

• Résumé de la vulnérabilité
• Versions affectées
• Analyse technique
• Prérequis
• Installation
• Utilisation
• Référence de sortie
• Méthodologie de détection
• Atténuation et correction
• Indicateurs de compromission
• Avis de non-responsabilité légal
• Références
• Crédits

---

Résumé de la vulnérabilité

Champ	Valeur
Identifiant CVE	CVE-2026-21858
Score CVSS v3.1	10.0 (Critique)
Vecteur CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Classification CWE	CWE-94 : Contrôle inapproprié de la génération de code
Éditeur	n8n GmbH
Produit	n8n Workflow Automation
Date de divulgation	Janvier 2026
Correctif disponible	Oui (v1.121.0+)

Résumé exécutif

Une vulnérabilité critique existe dans les versions 1.65.0 à 1.120.x de n8n, permettant à des attaquants distants non authentifiés d'exécuter du code arbitraire sur le serveur sous-jacent. La vulnérabilité est exploitée via des workflows basés sur des formulaires spécialement conçus, permettant un accès non autorisé au système de fichiers et l'exécution de commandes.

Évaluation de l'impact

• Confidentialité : Compromission totale des données système
• Intégrité : Modification arbitraire de fichiers et exécution de code
• Disponibilité : Possibilité de prise de contrôle complète du système ou de déni de service
• Portée : Changée - l'exploitation peut affecter des ressources au-delà du composant vulnérable

---

Versions affectées

Plage de versions	Statut
< 1.65.0	Non affecté
1.65.0 - 1.120.x	Vulnérable
>= 1.121.0	Corrigé

---

Analyse technique

Cause racine de la vulnérabilité

La vulnérabilité provient d'une validation insuffisante des entrées dans le moteur d'exécution de workflows basés sur des formulaires. Lors du traitement des données fournies par l'utilisateur via des déclencheurs de formulaires, n8n ne parvient pas à nettoyer correctement les paramètres d'entrée avant de les transmettre aux contextes d'exécution internes.

Vecteur d'attaque

1. L'attaquant identifie une instance n8n accessible publiquement
2. L'exploitation cible les endpoints de workflows basés sur des formulaires
3. Des charges malveillantes sont injectées via les champs de saisie du formulaire
4. La charge s'exécute avec les privilèges du compte de service n8n
5. L'accès arbitraire en lecture/écriture de fichiers et l'exécution de commandes sont réalisés

Complexité de l'exploitation

• Prérequis : Accès réseau à l'instance n8n cible
• Authentification : Non requise
• Interaction utilisateur : Aucune
• Complexité de l'attaque : Faible

---

Prérequis

Configuration système requise

• Python 3.12 ou supérieur
• Connectivité réseau à (aux) instance(s) n8n cible(s)
• Permissions suffisantes pour exécuter des scripts Python

Dépendances

Paquet	Version minimale	Objectif
requests	2.31.0	Gestion des requêtes HTTP
urllib3	2.0.0	Gestion des URL et des connexions
packaging	23.0	Logique de comparaison de versions

---

Installation

Méthode 1 : Utilisation de uv (Recommandée)

uv est un installateur et résolveur de paquets Python rapide.

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Install dependencies and create virtual environment
uv sync

# Run the tool
uv run python main.py -u https://target.example.com

Méthode 2 : Utilisation de pip

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Create virtual environment (recommended)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# or
.\venv\Scripts\activate   # Windows

# Install dependencies
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Run the tool
python main.py -u https://target.example.com

Méthode 3 : Installation manuelle

# Ensure Python 3.12+ is installed
python3 --version

# Install required packages
pip install requests urllib3 packaging

# Download and run
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

---

Utilisation

Interface en ligne de commande

Usage:
    python main.py -u <target_url>        Scan single target
    python main.py -l <targets_file>      Scan multiple targets from file

Arguments:
    -u    Single target URL
    -l    Path to file containing target URLs (one per line)

Analyse d'une cible unique

Tester une instance n8n unique pour la vulnérabilité :

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

Analyse de cibles multiples

Analyser plusieurs cibles à partir d'un fichier :

python main.py -l targets.txt

Format du fichier de cibles (targets.txt) :

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

Notes :

• Une cible par ligne
• Les URL sans préfixe de protocole utilisent https:// par défaut
• Les lignes vides sont ignorées
• Les cibles sont analysées simultanément à l'aide du threading

---

Référence de sortie

Indicateurs de statut

Indicateur	Couleur	Description
[VULNERABLE]	Vert	La cible exécute une version vulnérable de n8n (1.65.0 - 1.120.x)
[SAFE]	Bleu	La cible exécute une version corrigée (>= 1.121.0 ou < 1.65.0)
[WARNING]	Jaune	Instance n8n détectée mais extraction de la version échouée
[ERROR]	Rouge	Échec de connexion, délai dépassé ou cible non-n8n

Méthodologie de détection

Processus d'empreinte de version

L'outil utilise une détection passive de version via les étapes suivantes :

1. Requête d'endpoint : Requête HTTP GET vers l'endpoint /signin
2. Vérification de l'instance : Valide que la cible est une installation n8n
3. Extraction de configuration : Localise la balise meta n8n:config:sentry dans le HTML
4. Décodage Base64 : Décode la configuration Sentry intégrée
5. Analyse de version : Extrait la chaîne de version correspondant au motif [email protected]
6. Évaluation de vulnérabilité : Compare la version extraite à la plage vulnérable connue

Détails de la requête

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

---

Atténuation et correction

Actions immédiates

1. Mettre à niveau n8n : Mettez à jour vers la version 1.121.0 ou ultérieure immédiatement

   # Using npm
   npm update -g n8n
   
   # Using Docker
   docker pull n8nio/n8n:latest
   

2. Isolement réseau : Limitez l'accès aux instances n8n

   • Implémentez des règles de pare-feu limitant l'accès aux plages IP de confiance
   • Placez n8n derrière un VPN ou un proxy inverse avec authentification

3. Audit des workflows : Passez en revue tous les workflows existants

   • Identifiez et désactivez temporairement les workflows basés sur des formulaires
   • Auditez les endpoints webhook pour les accès non autorisés