CVE-2026-21858

n8n वर्कफ़्लो स्वचालन प्लेटफ़ॉर्म - रिमोट कोड निष्पादन

CVE-2026-21858 का पता लगाने के लिए एक सुरक्षा अनुसंधान उपकरण, जो n8n वर्कफ़्लो स्वचालन प्लेटफ़ॉर्म में एक गंभीर रिमोट कोड निष्पादन भेद्यता है।

विषय-सूची

• भेद्यता सारांश
• प्रभावित संस्करण
• तकनीकी विश्लेषण
• पूर्वापेक्षाएँ
• स्थापना
• उपयोग
• आउटपुट संदर्भ
• पहचान पद्धति
• शमन और निवारण
• समझौते के संकेतक
• कानूनी अस्वीकरण
• संदर्भ
• श्रेय

भेद्यता सारांश

कार्यकारी सारांश

n8n संस्करण 1.65.0 से 1.120.x में एक गंभीर भेद्यता मौजूद है जो बिना प्रमाणीकरण के रिमोट हमलावरों को अंतर्निहित सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है। इस भेद्यता का शोषण विशेष रूप से तैयार किए गए फ़ॉर्म-आधारित वर्कफ़्लो के माध्यम से किया जाता है, जिससे अनधिकृत फ़ाइल सिस्टम एक्सेस और कमांड निष्पादन संभव हो पाता है।

प्रभाव आकलन

• गोपनीयता: सिस्टम डेटा का पूर्ण समझौता
• अखंडता: मनमाना फ़ाइल संशोधन और कोड निष्पादन
• उपलब्धता: पूर्ण सिस्टम अधिग्रहण या सेवा से वंचित करने की संभावना
• दायरा: Changed - शोषण भेद्य घटक से परे संसाधनों को प्रभावित कर सकता है

प्रभावित संस्करण

तकनीकी विश्लेषण

भेद्यता का मूल कारण

यह भेद्यता फ़ॉर्म-आधारित वर्कफ़्लो निष्पादन इंजन में अपर्याप्त इनपुट सत्यापन से उत्पन्न होती है। फ़ॉर्म ट्रिगर के माध्यम से उपयोगकर्ता-आपूर्ति डेटा संसाधित करते समय, n8n आंतरिक निष्पादन संदर्भों में भेजने से पहले इनपुट पैरामीटर को ठीक से सैनिटाइज़ करने में विफल रहता है।

हमला वेक्टर

1. हमलावर सार्वजनिक रूप से सुलभ n8n इंस्टेंस की पहचान करता है
2. शोषण फ़ॉर्म-आधारित वर्कफ़्लो एंडपॉइंट को लक्षित करता है
3. दुर्भावनापूर्ण पेलोड फ़ॉर्म इनपुट फ़ील्ड के माध्यम से इंजेक्ट किए जाते हैं
4. पेलोड n8n सेवा खाते के विशेषाधिकारों के साथ निष्पादित होता है
5. मनमाना फ़ाइल पढ़ना/लिखना और कमांड निष्पादन प्राप्त किया जाता है

शोषण जटिलता

• पूर्वापेक्षाएँ: लक्षित n8n इंस्टेंस तक नेटवर्क पहुंच
• प्रमाणीकरण: आवश्यक नहीं
• उपयोगकर्ता सहभागिता: कोई नहीं
• हमले की जटिलता: निम्न

पूर्वापेक्षाएँ

सिस्टम आवश्यकताएँ

• Python 3.12 या उच्चतर
• लक्षित n8n इंस्टेंस(ओं) के लिए नेटवर्क कनेक्टिविटी
• Python स्क्रिप्ट निष्पादित करने के लिए पर्याप्त अनुमतियाँ

निर्भरताएँ

स्थापना

विधि 1: uv का उपयोग करना (अनुशंसित)

uv एक तेज़ Python पैकेज इंस्टॉलर और रिज़ॉल्वर है।

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Install dependencies and create virtual environment
uv sync

# Run the tool
uv run python main.py -u https://target.example.com

विधि 2: pip का उपयोग करना

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Create virtual environment (recommended)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# or
.\venv\Scripts\activate   # Windows

# Install dependencies
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Run the tool
python main.py -u https://target.example.com

विधि 3: मैन्युअल स्थापना

# Ensure Python 3.12+ is installed
python3 --version

# Install required packages
pip install requests urllib3 packaging

# Download and run
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

उपयोग

कमांड लाइन इंटरफ़ेस

Usage:
    python main.py -u <target_url>        Scan single target
    python main.py -l <targets_file>      Scan multiple targets from file

Arguments:
    -u    Single target URL
    -l    Path to file containing target URLs (one per line)

एकल लक्ष्य स्कैन

किसी एकल n8n इंस्टेंस की भेद्यता के लिए जाँच करें:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

बल्क लक्ष्य स्कैन

फ़ाइल से एकाधिक लक्ष्य स्कैन करें:

python main.py -l targets.txt

लक्ष्य फ़ाइल प्रारूप (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

नोट्स:

• प्रति पंक्ति एक लक्ष्य
• बिना प्रोटोकॉल उपसर्ग वाले URL डिफ़ॉल्ट रूप से https:// का उपयोग करते हैं
• खाली पंक्तियों को अनदेखा किया जाता है
• थ्रेडिंग का उपयोग करके लक्ष्यों को समवर्ती रूप से स्कैन किया जाता है

आउटपुट संदर्भ

स्थिति संकेतक

पहचान पद्धति

संस्करण फ़िंगरप्रिंटिंग प्रक्रिया

यह उपकरण निम्नलिखित चरणों के माध्यम से निष्क्रिय संस्करण पहचान का उपयोग करता है:

1. एंडपॉइंट अनुरोध: /signin एंडपॉइंट के लिए HTTP GET अनुरोध
2. इंस्टेंस सत्यापन: सत्यापित करता है कि लक्ष्य n8n स्थापना है
3. कॉन्फ़िगरेशन निष्कर्षण: HTML में n8n:config:sentry मेटा टैग ढूंढता है
4. Base64 डिकोडिंग: एम्बेडेड Sentry कॉन्फ़िगरेशन को डिकोड करता है
5. संस्करण पार्सिंग: पैटर्न [email protected] से मेल खाती संस्करण स्ट्रिंग निकालता है
6. भेद्यता आकलन: निकाले गए संस्करण की तुलना ज्ञात भेद्य सीमा से करता है

अनुरोध विवरण

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

शमन और निवारण

तत्काल कार्रवाई

1. n8n अपग्रेड करें: तुरंत संस्करण 1.121.0 या उसके बाद के संस्करण में अपडेट करें

   root@kitploit:~

   # Using npm
   npm update -g n8n
   
   # Using Docker
   docker pull n8nio/n8n:latest
   

2. नेटवर्क अलगाव: n8n इंस्टेंस तक पहुंच प्रतिबंधित करें

   • विश्वसनीय IP रेंज तक पहुंच सीमित करने वाले फ़ायरवॉल नियम लागू करें
   • n8n को प्रमाणीकरण के साथ VPN या रिवर्स प्रॉक्सी के पीछे रखें

3. वर्कफ़्लो ऑडिट: सभी मौजूदा वर्कफ़्लो की समीक्षा करें

   • फ़ॉर्म-आधारित वर्कफ़्लो की पहचान करें और अस्थायी रूप से अक्षम करें
   • अनधिकृत पहुंच के लिए वेबहुक एंडपॉइंट की ऑडिट करें

दीर्घकालिक अनुशंसाएँ

पैचिंग के बाद सत्यापन

# Verify n8n version after update
n8n --version

# Or check via this tool
python main.py -u https://your-n8n-instance.com
# Expected: [SAFE] ... Version: 1.121.0+ (not vulnerable)

समझौते के संकेतक

लॉग विश्लेषण

निम्नलिखित पैटर्न के लिए n8n और वेब सर्वर लॉग की समीक्षा करें:

• फ़ॉर्म ट्रिगर एंडपॉइंट पर असामान्य POST अनुरोध
• फ़ॉर्म फ़ील्ड में एन्कोडेड पेलोड वाले अनुरोध
• फ़ॉर्म डेटा के माध्यम से संवेदनशील फ़ाइल पथों तक पहुंच के प्रयास
• n8n सर्वर से अप्रत्याशित आउटबाउंड कनेक्शन

फ़ाइल सिस्टम कलाकृतियाँ

• n8n कार्यशील निर्देशिकाओं में अनधिकृत फ़ाइलें
• संशोधित वर्कफ़्लो कॉन्फ़िगरेशन फ़ाइलें
• अप्रत्याशित स्क्रिप्ट या निष्पादन योग्य फ़ाइलें

नेटवर्क संकेतक

• अज्ञात बाहरी होस्ट से कनेक्शन
• डेटा निष्कासन पैटर्न
• n8n प्रक्रिया से उत्पन्न रिवर्स शेल कनेक्शन

कानूनी अस्वीकरण

महत्वपूर्ण: उपयोग से पहले पढ़ें

यह उपकरण केवल निम्नलिखित उद्देश्यों के लिए प्रदान किया गया है:

• अधिकृत सुरक्षा मूल्यांकन
• लिखित अनुमति के साथ पैठ परीक्षण
• शैक्षिक और अनुसंधान उद्देश्य
• रक्षात्मक सुरक्षा संचालन

निषिद्ध उपयोग:

• कंप्यूटर सिस्टम तक अनधिकृत पहुंच
• स्पष्ट लिखित सहमति के बिना सिस्टम का शोषण
• कोई भी गतिविधि जो लागू कानूनों या विनियमों का उल्लंघन करती है

दायित्व: लेखक और योगदानकर्ता इस सॉफ़्टवेयर के दुरुपयोग के लिए कोई ज़िम्मेदारी नहीं लेते हैं। कोई भी सुरक्षा परीक्षण करने से पहले सभी लागू कानूनों का अनुपालन सुनिश्चित करना और उचित प्राधिकरण प्राप्त करना उपयोगकर्ताओं की पूर्ण ज़िम्मेदारी है।

कानूनी सूचना: कंप्यूटर सिस्टम तक अनधिकृत पहुंच अधिकांश क्षेत्राधिकारों में एक आपराधिक अपराध है, जिसमें संयुक्त राज्य अमेरिका में कंप्यूटर धोखाधड़ी और दुरुपयोग अधिनियम (CFAA), यूनाइटेड किंगडम में कंप्यूटर दुरुपयोग अधिनियम, और दुनिया भर में समान विधान के उल्लंघन शामिल हैं, लेकिन इन्हीं तक सीमित नहीं हैं।

संदर्भ

आधिकारिक संसाधन

• n8n आधिकारिक वेबसाइट
• n8n GitHub रिपॉज़िटरी
• n8n सुरक्षा सलाहकार

भेद्यता डेटाबेस

• NVD - CVE-2026-21858
• MITRE CVE रिकॉर्ड

संबंधित दस्तावेज़

• CWE-94: कोड निर्माण का अनुचित नियंत्रण
• OWASP कोड इंजेक्शन

श्रेय

• मूल अनुसंधान: rxerium द्वारा Nuclei टेम्पलेट पर आधारित
• फ्रेमवर्क: HGrab फ्रेमवर्क का हिस्सा
• अनुरक्षक: सुरक्षा अनुसंधान समुदाय

परिवर्तन लॉग

लाइसेंस

यह परियोजना केवल अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए यथावत प्रदान की गई है। कोई वारंटी प्रदान नहीं की जाती है, न तो स्पष्ट और न ही निहित। अपने जोखिम पर और लागू कानूनों के अनुसार उपयोग करें।