CVE-2026-21858

Piattaforma di Automazione dei Workflow n8n - Esecuzione di Codice Remota

Uno strumento di ricerca sulla sicurezza per il rilevamento di CVE-2026-21858, una vulnerabilità critica di esecuzione di codice remota nella piattaforma di automazione dei workflow n8n.

---

Indice dei Contenuti

• Riepilogo della Vulnerabilità
• Versioni Interessate
• Analisi Tecnica
• Prerequisiti
• Installazione
• Utilizzo
• Riferimento di Output
• Metodologia di Rilevamento
• Mitigazione e Rimedio
• Indicatori di Compromissione
• Disclaimer Legale
• Riferimenti
• Crediti

---

Riepilogo della Vulnerabilità

Campo	Valore
Identificatore CVE	CVE-2026-21858
Punteggio CVSS v3.1	10.0 (Critico)
Vettore CVSS	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Classificazione CWE	CWE-94: Controllo Improprio della Generazione di Codice
Fornitore	n8n GmbH
Prodotto	n8n Workflow Automation
Data di Divulgazione	Gennaio 2026
Patch Disponibile	Sì (v1.121.0+)

Sommario Esecutivo

Esiste una vulnerabilità critica nelle versioni di n8n dalla 1.65.0 alla 1.120.x che consente ad attaccanti remoti non autenticati di eseguire codice arbitrario sul server sottostante. La vulnerabilità viene sfruttata tramite workflow basati su moduli appositamente predisposti, consentendo l'accesso non autorizzato al file system e l'esecuzione di comandi.

Valutazione dell'Impatto

• Riservatezza: Compromissione completa dei dati di sistema
• Integrità: Modifica arbitraria dei file ed esecuzione di codice
• Disponibilità: Possibilità di presa di controllo totale del sistema o denial of service
• Ambito: Modificato - lo sfruttamento può interessare risorse oltre il componente vulnerabile

---

Versioni Interessate

Intervallo di Versioni	Stato
< 1.65.0	Non Vulnerabile
1.65.0 - 1.120.x	Vulnerabile
>= 1.121.0	Patch applicata

---

Analisi Tecnica

Causa Principale della Vulnerabilità

La vulnerabilità ha origine da una validazione insufficiente dell'input nel motore di esecuzione dei workflow basati su moduli. Durante l'elaborazione dei dati forniti dall'utente tramite i form trigger, n8n non sanifica correttamente i parametri di input prima di passarli ai contesti di esecuzione interni.

Vettore d'Attacco

1. L'attaccante identifica un'istanza n8n accessibile pubblicamente
2. Lo sfruttamento prende di mira gli endpoint dei workflow basati su moduli
3. I payload dannosi vengono iniettati tramite i campi di input dei moduli
4. Il payload viene eseguito con i privilegi dell'account di servizio n8n
5. Vengono ottenute lettura/scrittura arbitraria dei file ed esecuzione di comandi

Complessità dello Sfruttamento

• Prerequisiti: Accesso di rete all'istanza n8n target
• Autenticazione: Non richiesta
• Interazione dell'Utente: Nessuna
• Complessità dell'Attacco: Bassa

---

Prerequisiti

Requisiti di Sistema

• Python 3.12 o superiore
• Connettività di rete verso l'istanza o le istanze n8n target
• Permessi sufficienti per eseguire script Python

Dipendenze

Pacchetto	Versione Minima	Scopo
requests	2.31.0	Gestione delle richieste HTTP
urllib3	2.0.0	Gestione di URL e connessioni
packaging	23.0	Logica di confronto delle versioni

---

Installazione

Metodo 1: Utilizzo di uv (Consigliato)

uv è un veloce installatore e risolutore di pacchetti Python.

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Install dependencies and create virtual environment
uv sync

# Run the tool
uv run python main.py -u https://target.example.com

Metodo 2: Utilizzo di pip

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Create virtual environment (recommended)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# or
.\venv\Scripts\activate   # Windows

# Install dependencies
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Run the tool
python main.py -u https://target.example.com

Metodo 3: Installazione Manuale

# Ensure Python 3.12+ is installed
python3 --version

# Install required packages
pip install requests urllib3 packaging

# Download and run
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

---

Utilizzo

Interfaccia a Riga di Comando

Usage:
    python main.py -u <target_url>        Scan single target
    python main.py -l <targets_file>      Scan multiple targets from file

Arguments:
    -u    Single target URL
    -l    Path to file containing target URLs (one per line)

Scansione di un Singolo Target

Verifica una singola istanza n8n per la presenza della vulnerabilità:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

Scansione Bulk di Più Target

Scansiona più target da un file:

python main.py -l targets.txt

Formato del File dei Target (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

Note:

• Un target per riga
• Gli URL senza prefisso di protocollo utilizzano https:// di default
• Le righe vuote vengono ignorate
• I target vengono scansionati in modo concorrente tramite threading

---

Riferimento di Output

Indicatori di Stato

Indicatore	Colore	Descrizione
[VULNERABLE]	Verde	Il target esegue una versione vulnerabile di n8n (1.65.0 - 1.120.x)
[SAFE]	Blu	Il target esegue una versione corretta (>= 1.121.0 o < 1.65.0)
[WARNING]	Giallo	Istanza n8n rilevata ma estrazione della versione fallita
[ERROR]	Rosso	Errore di connessione, timeout o target non-n8n

Metodologia di Rilevamento

Processo di Rilevamento della Versione

Lo strumento impiega il rilevamento passivo della versione tramite i seguenti passaggi:

1. Richiesta all'Endpoint: Richiesta HTTP GET all'endpoint /signin
2. Verifica dell'Istanza: Verifica che il target sia un'installazione n8n
3. Estrazione della Configurazione: Individua il meta tag n8n:config:sentry nell'HTML
4. Decodifica Base64: Decodifica la configurazione Sentry incorporata
5. Parsing della Versione: Estrae la stringa di versione corrispondente al pattern [email protected]
6. Valutazione della Vulnerabilità: Confronta la versione estratta con l'intervallo vulnerabile noto

Dettagli della Richiesta

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

---

Mitigazione e Rimedio

Azioni Immediate

1. Aggiorna n8n: Aggiorna immediatamente alla versione 1.121.0 o successiva

   # Using npm
   npm update -g n8n
   
   # Using Docker
   docker pull n8nio/n8n:latest
   

2. Isolamento di Rete: Limita l'accesso alle istanze n8n

   • Implementa regole firewall che limitano l'accesso a intervalli IP fidati
   • Posiziona n8n dietro una VPN o un reverse proxy con autenticazione

3. Audit dei Workflow: Rivedi tutti i workflow esistenti

   • Identifica e disabilita temporaneamente i workflow basati su moduli
   • Controlla gli endpoint webhook per accessi non autorizzati

Raccomandazioni a Lungo Termine