CVE-2026-21858

n8n工作流自动化平台 - 远程代码执行

一个用于检测CVE-2026-21858的安全研究工具，该漏洞是n8n工作流自动化平台中的一个严重远程代码执行漏洞。

目录

• 漏洞摘要
• 受影响版本
• 技术分析
• 先决条件
• 安装
• 使用方法
• 输出参考
• 检测方法
• 缓解与修复
• 入侵指标
• 法律声明
• 参考资料
• 致谢

漏洞摘要

执行摘要

n8n 1.65.0至1.120.x版本存在一个严重漏洞，允许未经身份验证的远程攻击者在底层服务器上执行任意代码。该漏洞通过特制的基于表单的工作流被利用，能够实现未授权的文件系统访问和命令执行。

影响评估

• 机密性：系统数据完全被攻陷
• 完整性：任意文件修改和代码执行
• 可用性：可能导致系统完全被接管或拒绝服务
• 范围：已变更——利用可能影响易受攻击组件之外的资源

受影响版本

技术分析

漏洞根本原因

该漏洞源于基于表单的工作流执行引擎中的输入验证不足。当通过表单触发器处理用户提供的数据时，n8n未能在将输入参数传递到内部执行上下文之前对其进行适当清理。

攻击向量

1. 攻击者识别出可公开访问的n8n实例
2. 利用目标为基于表单的工作流端点
3. 通过表单输入字段注入恶意载荷
4. 载荷以n8n服务账户的权限执行
5. 实现任意文件读取/写入和命令执行

利用复杂度

• 先决条件：能够网络访问目标n8n实例
• 身份验证：不需要
• 用户交互：无
• 攻击复杂度：低

先决条件

系统要求

• Python 3.12或更高版本
• 能够网络连接到目标n8n实例
• 具有执行Python脚本的足够权限

依赖项

安装

方法1：使用uv（推荐）

uv 是一个快速的Python包安装器和解析器。

# 克隆仓库
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# 安装依赖并创建虚拟环境
uv sync

# 运行工具
uv run python main.py -u https://target.example.com

方法2：使用pip

# 克隆仓库
git clone https://github.com/sh4den/CVE-2026-21858.git
cd CVE-2026-21858

# 创建虚拟环境（推荐）
python3 -m venv venv
source venv/bin/activate  # Linux/macOS
# 或
.\venv\Scripts\activate   # Windows

# 安装依赖
pip install requests>=2.31.0 urllib3>=2.0.0 packaging>=23.0

# 运行工具
python main.py -u https://target.example.com

方法3：手动安装

# 确保已安装Python 3.12+
python3 --version

# 安装所需包
pip install requests urllib3 packaging

# 下载并运行
curl -O https://raw.githubusercontent.com/sh4den/CVE-2026-21858/main/main.py
python3 main.py -u https://target.example.com

使用方法

命令行界面

用法:
    python main.py -u <目标URL>        扫描单个目标
    python main.py -l <目标文件>       从文件扫描多个目标

参数:
    -u    单个目标URL
    -l    包含目标URL的文件路径（每行一个）

单个目标扫描

测试单个n8n实例是否存在漏洞：

python main.py -u https://n8n.example.com

python main.py -u http://192.168.1.100:5678

批量目标扫描

从文件扫描多个目标：

python main.py -l targets.txt

目标文件格式 (targets.txt)：

https://n8n.company-a.com
https://n8n.company-b.com:5678
http://10.0.0.50:5678
n8n.company-c.com
192.168.1.100:5678

注意：

• 每行一个目标
• 没有协议前缀的URL默认为https://
• 空行被忽略
• 使用线程并发扫描目标

输出参考

状态指示器

检测方法

版本指纹识别过程

该工具通过以下步骤进行被动版本检测：

1. 端点请求：向/signin端点发送HTTP GET请求
2. 实例验证：验证目标是否为n8n安装
3. 配置提取：在HTML中定位n8n:config:sentry元标签
4. Base64解码：解码嵌入的Sentry配置
5. 版本解析：提取与模式[email protected]匹配的版本字符串
6. 漏洞评估：将提取的版本与已知受影响范围进行比较

请求详情

GET /signin HTTP/1.1
Host: target.example.com
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36
Accept: text/html,application/xhtml+xml,application/xml;q=0.9
Accept-Language: en-US,en;q=0.5
Connection: close

缓解与修复

立即措施

1. 升级n8n：立即升级到1.121.0或更高版本

   root@kitploit:~

   # 使用npm
   npm update -g n8n
   
   # 使用Docker
   docker pull n8nio/n8n:latest
   

2. 网络隔离：限制对n8n实例的访问

   • 实施防火墙规则，限制仅允许可信IP范围访问
   • 将n8n置于VPN或具有身份验证的反向代理之后

3. 工作流审计：审查所有现有工作流

   • 暂时识别并禁用基于表单的工作流
   • 审计webhook端点是否存在未授权访问

长期建议

修补后验证

# 更新后验证n8n版本
n8n --version

# 或通过此工具检查
python main.py -u https://your-n8n-instance.com
# 预期输出：[SAFE] ... 版本：1.121.0+ (不受影响)

入侵指标

日志分析

审查n8n和Web服务器日志中的以下模式：

• 对表单触发器端点的异常POST请求
• 表单字段中包含编码载荷的请求
• 通过表单数据访问敏感文件路径的尝试
• n8n服务器发起的意外出站连接

文件系统痕迹

• n8n工作目录中的未授权文件
• 被修改的工作流配置文件
• 意外的脚本或可执行文件

网络指标

• 与未知外部主机的连接
• 数据外泄模式
• 源于n8n进程的反向shell连接

法律声明

重要：使用前请阅读

本工具严格仅用于：

• 经授权的安全评估
• 具有书面许可的渗透测试
• 教育和研究目的
• 防御性安全操作

禁止用途：

• 未授权访问计算机系统
• 未经明确书面同意而利用系统
• 任何违反适用法律或法规的活动

责任： 作者和贡献者不对本软件的滥用承担任何责任。用户全权负责确保遵守所有适用法律，并在进行任何安全测试前获得适当的授权。

法律提示： 在大多数司法管辖区，未授权访问计算机系统是一种刑事犯罪，包括但不限于美国《计算机欺诈和滥用法案》(CFAA)、英国《计算机滥用法案》以及全球类似立法。

参考资料

官方资源

• n8n官方网站
• n8n GitHub仓库
• n8n安全公告

漏洞数据库

• NVD - CVE-2026-21858
• MITRE CVE记录

相关文档

• CWE-94：代码生成控制不当
• OWASP代码注入

致谢

• 原始研究：基于rxerium的Nuclei模板
• 框架：HGrab框架的一部分
• 维护者：安全研究社区

更新日志

许可

本项目按“原样”提供，仅供授权的安全研究目的使用。不提供任何明示或暗示的担保。使用风险自负，并遵守适用法律。