[CVE-2026-21858] Ni8mare：n8n 身份验证绕过与远程代码执行

1. 漏洞概述

• 名称：Ni8mare
• CVE ID：CVE-2026-21858
• CVSS 评分：10.0（严重）
• 漏洞类型：身份验证绕过、本地文件包含（LFI）、远程代码执行（RCE）
• 受影响版本：n8n 1.65.0 及更早版本
• 补丁版本：n8n 1.121.0（2025 年 11 月发布）

2. 漏洞描述 该严重漏洞允许远程未认证攻击者通过基于表单的工作流非法访问服务器文件。此本地文件包含（LFI）漏洞会暴露敏感数据，并为更深层次的系统渗透提供立足点。

3. 技术分析 CVE-2026-21858 的根本原因在于 n8n 处理 webhook 和上传数据的机制。 故障机制

   • Content-Type 处理：接收 HTTP 请求时，n8n 根据 Content-Type 头分析内容，以决定如何处理数据。
   • 验证缺口：工作流中的某些文件处理函数在操作文件数据前，未能充分检查 Content-Type。
   • 变量操纵：此疏忽使攻击者能够控制包含文件信息的变量，并指定系统上的任意路径，从而有效地将上传功能转变为未经授权的本地文件读取机制。
   • 易受攻击的逻辑：在正常流程中，n8n 使用 Formidable 将 multipart/form-data 上传安全解析为随机临时路径。然而，如果攻击者将 Content-Type 更改为 application/json，n8n 会使用不同的解析器（parseBody()），该解析器直接用用户可控的值（包括任意文件路径）填充 req.body.files。
   • 受影响的源代码：关键缺陷位于 packages\nodes-base\nodes\Form\utils\utils.ts 中。

4. 漏洞利用链 研究人员已演示了一条可导致系统完全被接管的实际利用链：

   • 数据库访问：直接读取 n8n 数据库文件，提取管理员 ID、电子邮件和哈希密码。
   • 加密密钥提取：读取配置文件以获取系统的加密密钥。
   • 会话伪造：使用伪造的 Cookie 伪造管理员登录会话。
   • 远程代码执行（RCE）：一旦获得管理员访问权限，攻击者即可创建新工作流，在主机服务器上执行任意命令。
   • 完全沦陷：完全访问权限将导致所有存储的 API 密钥、OAuth 令牌、数据库连接和云服务凭据全部暴露。

5. PoC

   目标端点：该漏洞利用通常针对 /form/vulnerable-form 等端点。

   结果：成功执行可证明能够读取 /etc/passwd 等系统文件，从而确认漏洞存在。