🚨 CVE-2026-21858 — “Ni8mare”

인증이 필요 없는 치명적인 취약점으로, n8n 서버 전체를 완전히 장악할 수 있습니다

---

🆔 개요

필드	세부 정보
CVE ID	CVE-2026-21858
코드네임	Ni8mare
심각도	🔴 치명적(Critical)
CVSS 점수	10.0 (최대)
공격 경로	🌐 네트워크
인증 필요 여부	❌ 없음
사용자 상호작용	❌ 없음
공개 날짜	2026년 1월 7일

---

🧩 영향을 받는 소프트웨어

• 제품: n8n (워크플로 자동화 플랫폼)
• 취약한 버전: ⚠️ ≤ 1.65.0
• 패치된 버전: ✅ 1.121.0 이상

⚠️ 외부에 공개된 n8n 인스턴스는 특히 위험합니다.

---

🧠 기술 요약

CVE-2026-21858은 n8n이 수신 HTTP 요청(특히 웹훅 및 폼 제출 관련)을 처리할 때 발생하는 콘텐츠 타입 파싱 결함으로 인해 발생합니다.

근본 원인

• HTTP Content-Type 헤더의 부적절한 검증

• 다음 간의 잘못된 구분:

  • multipart/form-data
  • 기타 콘텐츠 타입

결과

공격자는 내부 요청 변수(예: req.body.files)를 조작하고 보안 통제를 우회할 수 있습니다.

---

💥 공격자가 할 수 있는 일

인증 없이 공격자는 다음을 수행할 수 있습니다:

✅ 서버에서 임의 파일 읽기 ✅ 자격 증명, 비밀값, 토큰 및 구성 파일 추출 ✅ 데이터베이스 파일 접근 ✅ 관리자 세션 위조 ✅ 원격 코드 실행(RCE) 으로 권한 상승 ✅ 시스템 전체 장악 달성

🧨 단 한 번의 조작된 HTTP 요청으로 충분할 수 있습니다.

---

🛠 공격 흐름 (단순화)

조작된 HTTP 요청
        ↓
Content-Type 조작
        ↓
파일 처리 우회
        ↓
임의 파일 읽기
        ↓
자격 증명 / 비밀값 추출
        ↓
권한 상승
        ↓
원격 코드 실행

---

📉 영향 평가

보안 속성	영향
기밀성	🔥 완전한 손상
무결성	🔥 전체 조작 가능
가용성	🔥 잠재적 완전 중단
공격 복잡성	⚡ 낮음
노출 범위	🌍 인터넷 노출

📊 전 세계 수십만 개의 n8n 인스턴스가 노출될 수 있습니다.

---

🛡 완화 및 해결 방안

✅ 즉시 조치 (강력 권장)

1. n8n 업그레이드

   • ⬆️ v1.121.0 이상으로 업데이트

2. 접근 제한

   • 🔐 방화벽 규칙
   • 🔐 VPN 또는 IP 허용 목록

3. 웹훅 감사

   • 🔍 외부 입력을 수신하는 워크플로 검토

4. 로그 모니터링

   • 🚨 예상치 못한 워크플로 실행 감시
   • 🚨 의심스러운 파일 접근 확인

❌ 안전한 우회 방법은 없습니다 — 패치가 필수입니다.

---

🧪 탐지 팁

다음을 확인하세요:

• 알 수 없거나 예상치 못한 워크플로
• 비정상적인 웹훅 요청
• 구성, DB 또는 자격 증명 파일에 대한 예상치 못한 접근
• 설명할 수 없는 새 관리자 세션 또는 토큰