bgarz929/ashwesker-cve-2026-21858Эксплойт для CVE-2026-21858 — критическая уязвимость неаутентифицированного разбора content-type в n8n, позволяющая произвольное чтение файлов, кражу учётных данных и удалённое выполнение кода.
| Поле | Детали |
|---|
| ID CVE | CVE-2026-21858 |
| Кодовое имя | Ni8mare |
| Серьёзность | 🔴 Критическая |
| Оценка CVSS | 10.0 (Максимум) |
| Вектор атаки | 🌐 Сеть |
| Требуется аутентификация | ❌ Нет |
| Взаимодействие с пользователем | ❌ Нет |
| Дата раскрытия | 7 января 2026 г. |
⚠️ Публично доступные экземпляры n8n находятся в особой зоне риска.
CVE-2026-21858 вызвана ошибкой парсинга типа содержимого при обработке n8n входящих HTTP-запросов — особенно тех, что связаны с вебхуками и отправкой форм.
Некорректная проверка HTTP-заголовка Content-Type
Неверное различие между:
multipart/form-data
Злоумышленники могут манипулировать внутренними переменными запроса (например, req.body.files) и обходить средства контроля безопасности.
Без аутентификации злоумышленники могут:
✅ Читать произвольные файлы с сервера ✅ Извлекать учётные данные, секреты, токены и конфигурации ✅ Получать доступ к файлам баз данных ✅ Подделывать сеансы администратора ✅ Повышать привилегии до удалённого выполнения кода (RCE) ✅ Полностью захватывать систему
🧨 Одного специально сформированного HTTP-запроса может быть достаточно.
Сформированный HTTP-запрос
↓
Манипуляция Content-Type
↓
Обход обработки файлов
↓
Чтение произвольных файлов
↓
Извлечение учётных данных / секретов
↓
Повышение привилегий
↓
Удалённое выполнение кода
| Свойство безопасности | Воздействие |
|---|---|
| Конфиденциальность | 🔥 Полная компрометация |
| Целостность | 🔥 Возможна полная модификация |
| Доступность | 🔥 Возможен полный сбой |
| Сложность эксплуатации | ⚡ Низкая |
| Зона воздействия | 🌍 Доступ из интернета |
📊 Сотни тысяч экземпляров n8n могут быть подвержены риску по всему миру.
Обновите n8n
Ограничьте доступ
Проверьте вебхуки
Мониторьте журналы
❌ Безопасного обходного пути не существует — установка исправления обязательна.
Ищите: