CVE-2026-21858

Платформа автоматизации рабочих процессов n8n — удалённое выполнение кода

Инструмент для исследования безопасности, предназначенный для обнаружения CVE-2026-21858 — критической уязвимости удалённого выполнения кода в платформе автоматизации рабочих процессов n8n.

Оглавление

• Краткое описание уязвимости
• Затронутые версии
• Технический анализ
• Предварительные требования
• Установка
• Использование
• Справочник по выводу
• Методология обнаружения
• Смягчение и устранение уязвимости
• Индикаторы компрометации
• Правовое уведомление
• Ссылки
• Авторы

Краткое описание уязвимости

Резюме

Критическая уязвимость существует в версиях n8n с 1.65.0 по 1.120.x и позволяет неаутентифицированным удалённым злоумышленникам выполнять произвольный код на сервере. Уязвимость эксплуатируется через специально созданные рабочие процессы на основе форм, что обеспечивает несанкционированный доступ к файловой системе и выполнение команд.

Оценка воздействия

• Конфиденциальность: Полная компрометация данных системы
• Целостность: Произвольное изменение файлов и выполнение кода
• Доступность: Возможен полный захват системы или отказ в обслуживании
• Область воздействия: Изменена — эксплуатация может затронуть ресурсы за пределами уязвимого компонента

Затронутые версии

Технический анализ

Корневая причина уязвимости

Уязвимость возникает из-за недостаточной проверки входных данных в механизме выполнения рабочих процессов на основе форм. При обработке предоставленных пользователем данных через триггеры форм n8n не выполняет надлежащую очистку входных параметров перед передачей их во внутренние контексты выполнения.

Вектор атаки

1. Злоумышленник находит публично доступный экземпляр n8n
2. Эксплуатация нацелена на конечные точки рабочих процессов на основе форм
3. Вредоносные полезные нагрузки внедряются через поля ввода форм
4. Полезная нагрузка выполняется с правами сервисной учётной записи n8n
5. Достигаются произвольные чтение/запись файлов и выполнение команд

Сложность эксплуатации

• Предварительные условия: Сетевой доступ к целевому экземпляру n8n
• Аутентификация: Не требуется
• Взаимодействие с пользователем: Не требуется
• Сложность атаки: Низкая

Предварительные требования

Системные требования

• Python 3.12 или выше
• Сетевое подключение к целевому(ым) экземпляру(ам) n8n
• Достаточные права для выполнения Python-скриптов

Зависимости

Установка

Метод 1: с помощью uv (рекомендуется)

uv — это быстрый установщик и резолвер Python-пакетов.

# Клонируем репозиторий
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Устанавливаем зависимости и создаём виртуальное окружение
uv sync

# Запускаем инструмент
uv run python main.py -u https://target.example.com

Метод 2: с помощью pip

# Клонируем репозиторий
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# Создаём виртуальное окружение (рекомендуется)
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# или
.\venv\Scripts\activate   # Windows

# Устанавливаем зависимости
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# Запускаем инструмент
python main.py -u https://target.example.com

Метод 3: ручная установка

# Убедитесь, что установлен Python 3.12+
python3 --version

# Устанавливаем необходимые пакеты
pip install requests urllib3 packaging

# Скачиваем и запускаем
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

Использование

Интерфейс командной строки

Использование:
    python main.py -u <target_url>        Сканирование одной цели
    python main.py -l <targets_file>      Сканирование нескольких целей из файла

Аргументы:
    -u    URL одной цели
    -l    Путь к файлу, содержащему URL целей (по одному в строке)

Сканирование одной цели

Проверка одного экземпляра n8n на наличие уязвимости:

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

Массовое сканирование целей

Сканирование нескольких целей из файла:

python main.py -l targets.txt

Формат файла целей (targets.txt):

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

Примечания:

• По одной цели в строке
• URL без префикса протокола по умолчанию используют https://
• Пустые строки игнорируются
• Цели сканируются параллельно с использованием потоков

Справочник по выводу

Индикаторы статуса

Методология обнаружения

Процесс определения версии

Инструмент использует пассивное определение версии, выполняя следующие шаги:

1. Запрос к конечной точке: HTTP GET-запрос к конечной точке /signin
2. Проверка экземпляра: Подтверждает, что цель является установкой n8n
3. Извлечение конфигурации: Находит meta-тег n8n:config:sentry в HTML
4. Декодирование Base64: Декодирует встроенную конфигурацию Sentry
5. Разбор версии: Извлекает строку версии, соответствующую шаблону [email protected]
6. Оценка уязвимости: Сравнивает извлечённую версию с известным уязвимым диапазоном

Детали запроса

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

Смягчение и устранение уязвимости

Немедленные меры

1. Обновите n8n: Немедленно обновитесь до версии 1.121.0 или новее

   root@kitploit:~

   # С помощью npm
   npm update -g n8n
   
   # С помощью Docker
   docker pull n8nio/n8n:latest
   

2. Сетевая изоляция: Ограничьте доступ к экземплярам n8n

   • Настройте правила межсетевого экрана, ограничивающие доступ доверенными IP-диапазонами
   • Разместите n8n за VPN или обратным прокси с аутентификацией

3. Аудит рабочих процессов: Проверьте все существующие рабочие процессы

   • Временно выявите и отключите рабочие процессы на основе форм
   • Проверьте конечные точки вебхуков на предмет несанкционированного доступа

Долгосрочные рекомендации

Проверка после установки патча

# Проверяем версию n8n после обновления
n8n --version

# Или проверяем с помощью этого инструмента
python main.py -u https://your-n8n-instance.com
# Ожидаемый результат: [SAFE] ... Version: 1.121.0+ (не уязвима)

Индикаторы компрометации

Анализ журналов

Проверьте журналы n8n и веб-сервера на наличие следующих признаков:

• Необычные POST-запросы к конечным точкам триггеров форм
• Запросы, содержащие закодированные полезные нагрузки в полях форм
• Попытки доступа к конфиденциальным файловым путям через данные форм
• Неожиданные исходящие подключения с сервера n8n

Артефакты файловой системы

• Несанкционированные файлы в рабочих каталогах n8n
• Изменённые файлы конфигурации рабочих процессов
• Неожиданные скрипты или исполняемые файлы

Сетевые индикаторы

• Подключения к неизвестным внешним хостам
• Признаки утечки данных
• Подключения reverse shell, исходящие от процесса n8n

Правовое уведомление

ВАЖНО: ПРОЧИТАЙТЕ ПЕРЕД ИСПОЛЬЗОВАНИЕМ

Данный инструмент предоставляется строго для:

• Авторизованных оценок безопасности
• Тестирования на проникновение при наличии письменного разрешения
• Образовательных и исследовательских целей
• Операций по защите безопасности

Запрещённые виды использования:

• Несанкционированный доступ к компьютерным системам
• Эксплуатация систем без явного письменного согласия
• Любая деятельность, нарушающая применимые законы или нормативные акты

Ответственность: Авторы и участники не несут ответственности за неправомерное использование данного программного обеспечения. Пользователи несут единоличную ответственность за соблюдение всех применимых законов и получение надлежащего разрешения перед проведением любых испытаний на безопасность.

Правовое уведомление: Несанкционированный доступ к компьютерным системам является уголовным преступлением в большинстве юрисдикций, включая, помимо прочего, нарушения Закона о компьютерном мошенничестве и злоупотреблениях (CFAA) в США, Закона о неправомерном использовании компьютеров в Великобритании и аналогичного законодательства по всему миру.

Ссылки

Официальные ресурсы

• Официальный сайт n8n
• Репозиторий n8n на GitHub
• Бюллетени безопасности n8n

Базы данных уязвимостей

• NVD - CVE-2026-21858
• Запись CVE в MITRE

Связанная документация

• CWE-94: Некорректный контроль генерации кода
• OWASP: Внедрение кода

Авторы

• Исходное исследование: На основе шаблона Nuclei от rxerium
• Фреймворк: Часть HGrab Framework
• Сопровождение: Сообщество исследователей безопасности

Журнал изменений

Лицензия

Данный проект предоставляется как есть, только для авторизованных исследовательских целей в области безопасности. Никакие гарантии, явные или подразумеваемые, не предоставляются. Используйте на свой страх и риск и в соответствии с применимыми законами.