CVE-2026-21858

Plataforma de Automação de Workflows n8n - Execução Remota de Código

Uma ferramenta de pesquisa de segurança para detectar CVE-2026-21858, uma vulnerabilidade crítica de execução remota de código na plataforma de automação de workflows n8n.

Índice

• Resumo da Vulnerabilidade
• Versões Afetadas
• Análise Técnica
• Pré-requisitos
• Instalação
• Uso
• Referência de Saída
• Metodologia de Detecção
• Mitigação e Remediação
• Indicadores de Comprometimento
• Aviso Legal
• Referências
• Créditos

Resumo da Vulnerabilidade

Resumo Executivo

Existe uma vulnerabilidade crítica nas versões 1.65.0 a 1.120.x do n8n que permite que atacantes remotos não autenticados executem código arbitrário no servidor subjacente. A vulnerabilidade é explorada por meio de workflows baseados em formulários especialmente criados, permitindo acesso não autorizado ao sistema de arquivos e execução de comandos.

Avaliação de Impacto

• Confidencialidade: Comprometimento completo dos dados do sistema
• Integridade: Modificação arbitrária de arquivos e execução de código
• Disponibilidade: Potencial de assumir completamente o sistema ou causar negação de serviço
• Escopo: Alterado - a exploração pode afetar recursos além do componente vulnerável

Versões Afetadas

Análise Técnica

Causa Raiz da Vulnerabilidade

A vulnerabilidade origina-se da validação insuficiente de entrada no mecanismo de execução de workflows baseados em formulários. Ao processar dados fornecidos pelo usuário por meio de gatilhos de formulário, o n8n não sanitiza adequadamente os parâmetros de entrada antes de passá-los aos contextos de execução internos.

Vetor de Ataque

1. O atacante identifica uma instância n8n publicamente acessível
2. A exploração visa endpoints de workflows baseados em formulários
3. Payloads maliciosos são injetados por meio de campos de entrada de formulário
4. O payload é executado com os privilégios da conta de serviço do n8n
5. São alcançadas leitura/escrita arbitrária de arquivos e execução de comandos

Complexidade de Exploração

• Pré-requisitos: Acesso à rede da instância n8n alvo
• Autenticação: Não necessária
• Interação do Usuário: Nenhuma
• Complexidade do Ataque: Baixa

Pré-requisitos

Requisitos de Sistema

• Python 3.12 ou superior
• Conectividade de rede com a(s) instância(s) n8n alvo(s)
• Permissões suficientes para executar scripts Python

Dependências

Instalação

Método 1: Usando uv (Recomendado)

uv é um instalador e resolvedor de pacotes Python rápido.

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Install dependencies and create virtual environment
uv sync

# Run the tool
uv run python main.py -u https://target.example.com

Método 2: Usando pip

# Clone the repository
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Create virtual environment (recommended)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# or
.\venv\Scripts\activate   # Windows

# Install dependencies
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Run the tool
python main.py -u https://target.example.com

Método 3: Instalação Manual

# Ensure Python 3.12+ is installed
python3 --version

# Install required packages
pip install requests urllib3 packaging

# Download and run
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

Uso

Interface de Linha de Comando

Usage:
    python main.py -u <target_url>        Scan single target
    python main.py -l <targets_file>      Scan multiple targets from file

Arguments:
    -u    Single target URL
    -l    Path to file containing target URLs (one per line)

Verificação de Alvo Único

Teste uma única instância n8n quanto à vulnerabilidade:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

Verificação em Massa de Alvos

Verifique vários alvos a partir de um arquivo:

python main.py -l targets.txt

Formato do Arquivo de Alvos (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

Observações:

• Um alvo por linha
• URLs sem prefixo de protocolo usam https:// por padrão
• Linhas vazias são ignoradas
• Os alvos são verificados simultaneamente usando threads

Referência de Saída

Indicadores de Status

Metodologia de Detecção

Processo de Fingerprinting de Versão

A ferramenta emprega detecção passiva de versão pelas seguintes etapas:

1. Requisição ao Endpoint: Requisição HTTP GET ao endpoint /signin
2. Verificação da Instância: Valida se o alvo é uma instalação do n8n
3. Extração de Configuração: Localiza a meta tag n8n:config:sentry no HTML
4. Decodificação Base64: Decodifica a configuração Sentry incorporada
5. Análise da Versão: Extrai a string de versão correspondente ao padrão [email protected]
6. Avaliação da Vulnerabilidade: Compara a versão extraída com a faixa vulnerável conhecida

Detalhes da Requisição

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

Mitigação e Remediação

Ações Imediatas

1. Atualize o n8n: Atualize para a versão 1.121.0 ou posterior imediatamente

   root@kitploit:~

   # Using npm
   npm update -g n8n
   
   # Using Docker
   docker pull n8nio/n8n:latest
   

2. Isolamento de Rede: Restrinja o acesso às instâncias n8n

   • Implemente regras de firewall limitando o acesso a faixas de IP confiáveis
   • Coloque o n8n atrás de uma VPN ou proxy reverso com autenticação

3. Auditoria de Workflows: Revise todos os workflows existentes

   • Identifique e desative temporariamente os workflows baseados em formulários
   • Audite os endpoints de webhook quanto a acesso não autorizado

Recomendações de Longo Prazo

Verificação Após a Correção

# Verify n8n version after update
n8n --version

# Or check via this tool
python main.py -u https://your-n8n-instance.com
# Expected: [SAFE] ... Version: 1.121.0+ (not vulnerable)

Indicadores de Comprometimento

Análise de Logs

Revise os logs do n8n e do servidor web quanto aos seguintes padrões:

• Requisições POST incomuns para endpoints de gatilho de formulário
• Requisições contendo payloads codificados em campos de formulário
• Tentativas de acesso a caminhos de arquivos sensíveis via dados de formulário
• Conexões de saída inesperadas a partir do servidor n8n

Artefatos do Sistema de Arquivos

• Arquivos não autorizados nos diretórios de trabalho do n8n
• Arquivos de configuração de workflows modificados
• Scripts ou executáveis inesperados

Indicadores de Rede

• Conexões com hosts externos desconhecidos
• Padrões de exfiltração de dados
• Conexões de reverse shell originadas do processo n8n

Aviso Legal

IMPORTANTE: LEIA ANTES DE USAR

Esta ferramenta é fornecida estritamente para:

• Avaliações de segurança autorizadas
• Testes de penetração com permissão por escrito
• Fins educacionais e de pesquisa
• Operações de segurança defensiva

Usos Proibidos:

• Acesso não autorizado a sistemas de computador
• Exploração de sistemas sem consentimento explícito por escrito
• Qualquer atividade que viole leis ou regulamentos aplicáveis

Responsabilidade: Os autores e colaboradores não assumem nenhuma responsabilidade pelo uso indevido deste software. Os usuários são os únicos responsáveis por garantir a conformidade com todas as leis aplicáveis e por obter a devida autorização antes de realizar qualquer teste de segurança.

Aviso Legal: O acesso não autorizado a sistemas de computador é crime na maioria das jurisdições, incluindo, mas não se limitando a, violações do Computer Fraud and Abuse Act (CFAA) nos Estados Unidos, do Computer Misuse Act no Reino Unido e de legislação semelhante em todo o mundo.

Referências

Recursos Oficiais

• Site Oficial do n8n
• Repositório GitHub do n8n
• Comunicados de Segurança do n8n

Bases de Dados de Vulnerabilidades

• NVD - CVE-2026-21858
• Registro CVE da MITRE

Documentação Relacionada

• CWE-94: Controle Impróprio de Geração de Código
• Injeção de Código da OWASP

Créditos

• Pesquisa Original: Baseada no template Nuclei de rxerium
• Framework: Parte do HGrab Framework
• Mantenedores: Comunidade de Pesquisa de Segurança

Changelog

Licença

Este projeto é fornecido no estado em que se encontra, exclusivamente para fins autorizados de pesquisa de segurança. Nenhuma garantia é fornecida, expressa ou implícita. Use por sua conta e risco e em conformidade com as leis aplicáveis.