---

📖 Indice

• Panoramica
• Dettagli tecnici
• Gravità e CVSS
• Versioni interessate
• Impatto
• Sfruttamento
• Rilevamento
• Rimedio
• Mitigazione
• Riepilogo

---

🔎 Panoramica

CVE-2026-21858, soprannominata “Ni8mare”, è una vulnerabilità critica scoperta in n8n — una piattaforma molto diffusa per la creazione di flussi di lavoro di automazione (ad es., automazione di chiamate API, integrazioni, connettori SaaS).

Consente ad attaccanti remoti non autenticati di interagire con endpoint webhook/form non adeguatamente convalidati e di ottenere accesso non autorizzato a file e risorse interne del server.

Uno sfruttamento riuscito può portare a piena esecuzione remota di codice (RCE) e alla completa compromissione dell'istanza.

---

🧠 Dettagli tecnici

• Causa principale: Convalida inadeguata degli input e confusione del Content-Type nella logica di gestione di webhook/form.
• Gli attaccanti possono inviare richieste HTTP appositamente create che inducono il sistema a esporre il contenuto dei file o a innescare flussi di lavoro non sicuri.
• La falla consente agli attaccanti di:
  • Leggere file arbitrari dall'host
  • Esporre credenziali sensibili e token
  • Contraffare token di sessione admin
  • Abusare dei nodi dei flussi di lavoro (ad es., Execute Command) per eseguire comandi di sistema arbitrari
  • Compromettere completamente l'istanza del server

---

📊 Gravità e CVSS

Questa rappresenta la gravità massima possibile per una falla di esecuzione remota di codice.

---

📦 Versioni interessate

La vulnerabilità interessa la piattaforma open-source n8n:

= 1.65.0 e < 1.121.0

id="vsurvey1"

Tutte le istanze self-hosted che eseguono versioni precedenti a 1.121.0 sono vulnerabili.

---

🔥 Impatto

Un attaccante che sfrutta questa vulnerabilità può:

• 🔓 Leggere file di sistema arbitrari
• 🔑 Esporre credenziali del database, chiavi API, token
• 🔐 Contraffare sessioni di autenticazione
• 🛠 Eseguire comandi di sistema arbitrari
• 💥 Compromettere completamente la macchina host
• ↔ Spostarsi lateralmente verso sistemi e integrazioni connessi

Le istanze esposte su internet pubblico sono particolarmente a rischio.

---

🧨 Sfruttamento

Questa vulnerabilità è:

• Remota: Non richiede restrizioni di rete oltre all'accesso agli endpoint webhook/form
• Non autenticata: Non richiede login o credenziali
• A bassa complessità: Facile per gli attaccanti creare richieste di sfruttamento

Le evidenze emerse dalle scansioni internet suggeriscono che decine di migliaia di istanze potenzialmente esposte rimangono raggiungibili online.

---

🔍 Rilevamento

Prestare attenzione a:

• Richieste HTTP inaspettate con header Content-Type insoliti
• Pattern di accesso agli endpoint webhook/form da fonti non attendibili
• Accesso sospetto a file o log di esecuzione di nodi
• Log del server web che mostrano esecuzioni anomale di flussi di lavoro

---

🛠 Rimedio

✅ Applica la patch immediatamente

Aggiornare n8n alla versione 1.121.0 o successiva — questa release include la correzione per CVE-2026-21858.

1. Arrestare l'istanza n8n corrente
2. Eseguire l'upgrade alla 1.121.0+
3. Riavviare il servizio
4. Verificare che non rimangano nodi esposti non aggiornati

---

🧱 Mitigazione temporanea (in caso di ritardo della patch)

In attesa dell'aggiornamento, ridurre l'esposizione:

• Limitare l'accesso esterno agli endpoint webhook e form
• Richiedere l'autenticazione per tutte le richieste in ingresso
• Utilizzare regole firewall per limitare il traffico in entrata
• Disabilitare i webhook pubblici fino all'applicazione della patch

---

🔐 Checklist di sicurezza

• Eseguire n8n ≥ 1.121.0
• Limitare l'accesso di rete agli IP attendibili
• Ruotare tutti i segreti memorizzati (chiavi API/token/credenziali)
• Esaminare le definizioni dei flussi di lavoro per contenuti non sicuri
• Controllare i log di accesso per tentativi di sfruttamento

---

📌 Riepilogo

---

⚠️ Avviso finale

Se esegui n8n **ovunque — soprattutto istanze self-hosted esposte su internet — applica la patch **alla versione 1.121.0 o superiore immediatamente. Il rischio di compromissione totale del sistema è elevato e sono possibili exploit automatizzati, dati i dettagli pubblici di questo problema.