CVE-2026-21858 — 利用 n8n 中未经身份验证的远程代码执行漏洞链，结合内容类型混淆与表达式注入，实现文件读取、伪造 JWT 及命令执行。 | Kitploit

CVE-2026-21858 + CVE-2025-68613 - n8n RCE 漏洞利用

针对 n8n < 1.121.0 的未认证远程代码执行链（CVSS 10.0）

攻击链

CVE-2026-21858 - Content-Type 混淆 → 读取 /home/node/.n8n/config 和 database.sqlite
从文件中提取加密密钥和管理员凭据
伪造管理员 JWT 令牌
CVE-2025-68613 - 表达式注入 → 通过 child_process 执行命令

使用方法

# 执行命令
python3 exploit.py http://target:5678 /form/test --cmd "id"

# 读取文件
python3 exploit.py http://target:5678 /form/test --read /etc/passwd

# 交互式 Shell
python3 exploit.py http://target:5678 /form/test

前提条件

目标必须具有包含以下内容的活动工作流：

带有文件上传字段的表单触发器节点
返回二进制数据的响应 Webhook 节点
可公开访问的表单端点

参考