CVE-2026-21858

Piattaforma di Automazione dei Workflow n8n - Esecuzione di Codice Remota

Uno strumento di ricerca sulla sicurezza per il rilevamento di CVE-2026-21858, una vulnerabilità critica di esecuzione di codice remota nella piattaforma di automazione dei workflow n8n.

Indice dei Contenuti

• Riepilogo della Vulnerabilità
• Versioni Interessate
• Analisi Tecnica
• Prerequisiti
• Installazione
• Utilizzo
• Riferimento di Output
• Metodologia di Rilevamento
• Mitigazione e Rimedio
• Indicatori di Compromissione
• Disclaimer Legale
• Riferimenti
• Crediti

Riepilogo della Vulnerabilità

Sommario Esecutivo

Esiste una vulnerabilità critica nelle versioni di n8n dalla 1.65.0 alla 1.120.x che consente ad attaccanti remoti non autenticati di eseguire codice arbitrario sul server sottostante. La vulnerabilità viene sfruttata tramite workflow basati su moduli appositamente predisposti, consentendo l'accesso non autorizzato al file system e l'esecuzione di comandi.

Valutazione dell'Impatto

• Riservatezza: Compromissione completa dei dati di sistema
• Integrità: Modifica arbitraria dei file ed esecuzione di codice
• Disponibilità: Possibilità di presa di controllo totale del sistema o denial of service
• Ambito: Modificato - lo sfruttamento può interessare risorse oltre il componente vulnerabile

Versioni Interessate

Analisi Tecnica

Causa Principale della Vulnerabilità

La vulnerabilità ha origine da una validazione insufficiente dell'input nel motore di esecuzione dei workflow basati su moduli. Durante l'elaborazione dei dati forniti dall'utente tramite i form trigger, n8n non sanifica correttamente i parametri di input prima di passarli ai contesti di esecuzione interni.

Vettore d'Attacco

1. L'attaccante identifica un'istanza n8n accessibile pubblicamente
2. Lo sfruttamento prende di mira gli endpoint dei workflow basati su moduli
3. I payload dannosi vengono iniettati tramite i campi di input dei moduli
4. Il payload viene eseguito con i privilegi dell'account di servizio n8n
5. Vengono ottenute lettura/scrittura arbitraria dei file ed esecuzione di comandi

Complessità dello Sfruttamento

• Prerequisiti: Accesso di rete all'istanza n8n target
• Autenticazione: Non richiesta
• Interazione dell'Utente: Nessuna
• Complessità dell'Attacco: Bassa

Prerequisiti

Requisiti di Sistema

• Python 3.12 o superiore
• Connettività di rete verso l'istanza o le istanze n8n target
• Permessi sufficienti per eseguire script Python

Dipendenze

Installazione

Metodo 1: Utilizzo di uv (Consigliato)

uv è un veloce installatore e risolutore di pacchetti Python.

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Install dependencies and create virtual environment
uv sync

# Run the tool
uv run python main.py -u https://target.example.com

Metodo 2: Utilizzo di pip

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Create virtual environment (recommended)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# or
.\venv\Scripts\activate   # Windows

# Install dependencies
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Run the tool
python main.py -u https://target.example.com

Metodo 3: Installazione Manuale

# Ensure Python 3.12+ is installed
python3 --version

# Install required packages
pip install requests urllib3 packaging

# Download and run
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

Utilizzo

Interfaccia a Riga di Comando

Usage:
    python main.py -u <target_url>        Scan single target
    python main.py -l <targets_file>      Scan multiple targets from file

Arguments:
    -u    Single target URL
    -l    Path to file containing target URLs (one per line)

Scansione di un Singolo Target

Verifica una singola istanza n8n per la presenza della vulnerabilità:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

Scansione Bulk di Più Target

Scansiona più target da un file:

python main.py -l targets.txt

Formato del File dei Target (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

Note:

• Un target per riga
• Gli URL senza prefisso di protocollo utilizzano https:// di default
• Le righe vuote vengono ignorate
• I target vengono scansionati in modo concorrente tramite threading

Riferimento di Output

Indicatori di Stato

Metodologia di Rilevamento

Processo di Rilevamento della Versione

Lo strumento impiega il rilevamento passivo della versione tramite i seguenti passaggi:

1. Richiesta all'Endpoint: Richiesta HTTP GET all'endpoint /signin
2. Verifica dell'Istanza: Verifica che il target sia un'installazione n8n
3. Estrazione della Configurazione: Individua il meta tag n8n:config:sentry nell'HTML
4. Decodifica Base64: Decodifica la configurazione Sentry incorporata
5. Parsing della Versione: Estrae la stringa di versione corrispondente al pattern [email protected]
6. Valutazione della Vulnerabilità: Confronta la versione estratta con l'intervallo vulnerabile noto

Dettagli della Richiesta

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

Mitigazione e Rimedio

Azioni Immediate

1. Aggiorna n8n: Aggiorna immediatamente alla versione 1.121.0 o successiva

   root@kitploit:~

   # Using npm
   npm update -g n8n
   
   # Using Docker
   docker pull n8nio/n8n:latest
   

2. Isolamento di Rete: Limita l'accesso alle istanze n8n

   • Implementa regole firewall che limitano l'accesso a intervalli IP fidati
   • Posiziona n8n dietro una VPN o un reverse proxy con autenticazione

3. Audit dei Workflow: Rivedi tutti i workflow esistenti

   • Identifica e disabilita temporaneamente i workflow basati su moduli
   • Controlla gli endpoint webhook per accessi non autorizzati

Raccomandazioni a Lungo Termine

Verifica Dopo l'Applicazione della Patch

# Verify n8n version after update
n8n --version

# Or check via this tool
python main.py -u https://your-n8n-instance.com
# Expected: [SAFE] ... Version: 1.121.0+ (not vulnerable)

Indicatori di Compromissione

Analisi dei Log

Esaminare i log di n8n e del server web per i seguenti pattern:

• Richieste POST insolite verso gli endpoint dei form trigger
• Richieste contenenti payload codificati nei campi dei moduli
• Tentativi di accesso a percorsi di file sensibili tramite i dati dei moduli
• Connessioni in uscita inattese dal server n8n

Artefatti del File System

• File non autorizzati nelle directory di lavoro di n8n
• File di configurazione dei workflow modificati
• Script o eseguibili inattesi

Indicatori di Rete

• Connessioni verso host esterni sconosciuti
• Pattern di esfiltrazione di dati
• Connessioni reverse shell originate dal processo n8n

Disclaimer Legale

IMPORTANTE: LEGGERE PRIMA DELL'USO

Questo strumento è fornito esclusivamente per:

• Valutazioni di sicurezza autorizzate
• Test di penetrazione con autorizzazione scritta
• Scopi educativi e di ricerca
• Operazioni di sicurezza difensive

Usi Proibiti:

• Accesso non autorizzato a sistemi informatici
• Sfruttamento di sistemi senza esplicito consenso scritto
• Qualsiasi attività che violi leggi o regolamenti applicabili

Responsabilità: Gli autori e i collaboratori non si assumono alcuna responsabilità per l'uso improprio di questo software. Gli utenti sono gli unici responsabili di garantire la conformità a tutte le leggi applicabili e di ottenere la dovuta autorizzazione prima di condurre qualsiasi test di sicurezza.

Avviso Legale: L'accesso non autorizzato a sistemi informatici è un reato nella maggior parte delle giurisdizioni, incluse, a titolo esemplificativo ma non esaustivo, le violazioni del Computer Fraud and Abuse Act (CFAA) negli Stati Uniti, del Computer Misuse Act nel Regno Unito e della legislazione analoga in tutto il mondo.

Riferimenti

Risorse Ufficiali

• Sito Web Ufficiale di n8n
• Repository GitHub di n8n
• Avvisi di Sicurezza di n8n

Database delle Vulnerabilità

• NVD - CVE-2026-21858
• Record CVE di MITRE

Documentazione Correlata

• CWE-94: Controllo Improprio della Generazione di Codice
• Iniezione di Codice OWASP

Crediti

• Ricerca Originale: Basato sul template Nuclei di rxerium
• Framework: Parte del Framework HGrab
• Manutentori: Community di Ricerca sulla Sicurezza

Changelog

Licenza

Questo progetto è fornito così com'è esclusivamente a scopo di ricerca sulla sicurezza autorizzata. Non viene fornita alcuna garanzia, esplicita o implicita. Utilizzare a proprio rischio e in conformità con le leggi applicabili.