[CVE-2026-21858] Ni8mare: n8n 인증 우회 및 원격 코드 실행

1. 취약점 개요

• 이름: Ni8mare
• CVE ID: CVE-2026-21858
• CVSS 점수: 10.0 (치명적)
• 취약점 유형: 인증 우회, 로컬 파일 포함(LFI), 원격 코드 실행(RCE)
• 영향을 받는 버전: n8n 1.65.0 및 이전 버전
• 패치 버전: n8n 1.121.0 (2025년 11월 출시)

2. 취약점 설명 이 치명적인 취약점은 원격의 인증되지 않은 공격자가 양식 기반 워크플로우를 통해 서버 파일에 무단으로 접근할 수 있게 합니다. 이 로컬 파일 포함(LFI)은 민감한 데이터를 노출시키고 더 깊은 시스템 침투를 위한 발판을 제공합니다.

3. 기술 분석 CVE-2026-21858의 근본 원인은 n8n이 웹훅과 업로드된 데이터를 처리하는 메커니즘에 있습니다. 실패 메커니즘

   • Content-Type 처리: HTTP 요청을 수신할 때 n8n은 Content-Type 헤더를 기반으로 콘텐츠를 분석하여 데이터 처리 방식을 결정합니다.
   • 검증 공백: 워크플로우 내 특정 파일 처리 함수는 파일 데이터를 조작하기 전에 Content-Type을 적절히 검사하지 못합니다.
   • 변수 조작: 이러한 간과로 인해 공격자는 파일 정보를 포함하는 변수를 제어하고 시스템의 임의 경로를 지정할 수 있으며, 업로드 기능을 사실상 무단 로컬 파일 읽기 메커니즘으로 전환할 수 있습니다.
   • 취약한 로직: 정상적인 흐름에서 n8n은 Formidable을 사용하여 multipart/form-data 업로드를 임의의 임시 경로로 안전하게 파싱합니다. 그러나 공격자가 Content-Type을 application/json으로 변경하면 n8n은 다른 파서(parseBody())를 사용하여 임의 파일 경로를 포함한 사용자 제어 값을 req.body.files에 직접 채웁니다.
   • 영향을 받는 소스 코드: 핵심 결함은 packages\nodes-base\nodes\Form\utils\utils.ts에 있습니다.

4. 익스플로잇 체인 연구원들은 전체 시스템 장악으로 이어지는 실질적인 익스플로잇 체인을 입증했습니다:

   • 데이터베이스 접근: n8n 데이터베이스 파일을 직접 읽어 관리자 ID, 이메일, 해시된 비밀번호를 추출합니다.
   • 암호화 키 추출: 구성 파일을 읽어 시스템의 암호화 키를 획득합니다.
   • 세션 위조: 위조된 쿠키를 사용하여 관리자 로그인 세션을 위조합니다.
   • 원격 코드 실행(RCE): 관리자 접근 권한을 획득하면 공격자는 새 워크플로우를 생성하여 호스트 서버에서 임의의 명령을 실행할 수 있습니다.
   • 완전한 손상: 완전한 접근 권한으로 인해 저장된 모든 API 키, OAuth 토큰, 데이터베이스 연결 및 클라우드 서비스 자격 증명이 노출됩니다.

5. PoC

   대상 엔드포인트: 익스플로잇은 일반적으로 /form/vulnerable-form과 같은 엔드포인트를 대상으로 합니다.