CVE-2026-21858 RCE

Ambiente PoC para n8n 1.120.4 com um workflow Form Trigger e um script de exploit.

Requisitos

• Docker (Docker Desktop no Windows)
• Python 3.x (lado do ataque)

Arquivos

• Dockerfile — constrói o ambiente vulnerável do n8n
• run.bat — executa o container (Windows)
• workflow.txt — workflow do n8n (inclui Form Trigger)
• poc.py — script PoC
• requirements.txt — dependências do PoC

Configuração do Ambiente

1. Construir a imagem Docker

docker build -t n8n-vuln:1.120.4 .

2. Executar o ambiente (Windows)

run.bat

3. Configuração do n8n

1. Abra o n8n no navegador
2. Faça login como admin
3. Crie um novo workflow
4. cole workflow.txt
5. Ative o workflow
6. Copie a Form Trigger URL

Prova de Conceito (PoC)

1. Instalar dependências (lado do ataque)

pip3 install -r requirements.txt

2. Executar o exploit

python3 poc.py

• Cole a Form Trigger URL quando solicitado.

Resultado Esperado

• O PoC extrai ativos sensíveis do n8n (por exemplo, FINAL_SECRET_KEY, identificadores de admin) do alvo.
• Um prompt de shell interativo (n8n-shell>) é fornecido.
• A execução de um comando (por exemplo, id) retorna a saída do ambiente alvo (RCE).

Exemplo de Saída

[+] Success: SECRET_KEY = "..."
[+] Success: admin_id = "..."
[+] Success: admin_hash = "..."

=== n8n Shell Ready ===
n8n-shell> id

[!] 'id' Result:
------------------------------
uid=1000(n8n) gid=1000(n8n) groups=1000(n8n)
------------------------------

EQST Insight

Publicamos análises de CVE e malware uma vez por mês. Se você estiver interessado, siga os links abaixo para conferir nossas publicações.

• KR : https://www.skshieldus.com/security-insights/reports/n8n_arbitrary_file_read_vulnerability_cve_2026_21858
• EN : https://www.skshieldus.com/en/report?tab=eqst