چکیده
یک آسیب‌پذیری بحرانی با شناسه CVE-2026-21858 در پلتفرم متن‌باز خودکارسازی گردش‌کار (Workflow Automation) n8n شناسایی شده است. این ضعف امنیتی ناشی از اعتبارسنجی نامناسب ورودی‌ها در پردازش درخواست‌های وب‌هوک (Webhook) است و به مهاجم اجازه می‌دهد از راه دور و بدون نیاز به احراز هویت، به فایل‌های حساس سیستم دسترسی پیدا کند. در برخی پیکربندی‌ها، این آسیب‌پذیری می‌تواند زمینه را برای دور زدن احراز هویت (Authentication Bypass) و در نهایت اجرای کد از راه دور (RCE) فراهم کند.
توضیحات
آسیب‌پذیری CVE-2026-21858 ناشی از اعتبارسنجی نامناسب ورودی‌ها (Improper Input Validation) مطابق با CWE-20 است. این نوع ضعف امنیتی زمانی رخ می‌دهد که برنامه، داده‌های دریافتی را پیش از پردازش به‌درستی اعتبارسنجی نکند و در نتیجه، امکان پردازش ورودی‌های غیرمنتظره یا دستکاری‌شده را فراهم شود. در n8n این ضعف در برخی مسیرهای اجرایی مربوط به نود Form Webhook وجود دارد؛ قابلیتی که برای دریافت درخواست‌های HTTP و آغاز اجرای گردش‌کارها (Workflow) مورد استفاده قرار می‌گیرد.
در معماری n8n، درخواست‌های وب‌هوک بر اساس مقدار هدر Content-Type پردازش می‌شوند. اگر مقدار این هدر multipart/form-data باشد، اطلاعات ارسالی با استفاده از کتابخانه Formidable پردازش شده و فایل‌های بارگذاری‌شده در متغیر req.body.files ذخیره می‌شوند. Formidable یک کتابخانه Node.js برای مدیریت بارگذاری فایل است که فایل‌های دریافتی را به‌صورت خودکار در یک مسیر موقت با نامی تصادفی ذخیره می‌کند. به همین دلیل، کاربران نمی‌توانند مسیر ذخیره‌سازی فایل را به‌طور مستقیم کنترل کنند و احتمال سوءاستفاده از حملاتی مانند پیمایش مسیر (Path Traversal) کاهش می‌یابد.
طبق گزارش پژوهشگران Cyera، در برخی مسیرهای اجرایی مربوط به نود Form Webhook، پیش از استفاده از متغیر req.body.files هیچ بررسی‌ای انجام نمی‌شود تا مشخص شود درخواست دریافتی واقعاً از نوع multipart/form-data است یا خیر. در نتیجه، مهاجم می‌تواند مقدار هدر Content-Type را به مقداری مانند application/json تغییر داده و سپس با ارسال داده‌ای دلخواه، محتوای req.body.files را به‌طور کامل تحت کنترل خود درآورد. این ضعف که با عنوان Content-Type Confusion شناخته می‌شود، این امکان را فراهم می‌کند که n8n به‌جای پردازش فایل‌های واقعی بارگذاری‌شده، مسیر فایل‌هایی را که مهاجم مشخص کرده است معتبر تلقی کرده و آن‌ها را پردازش کند.
این آسیب‌پذیری به‌سادگی قابل خودکارسازی است؛ مهاجم می‌تواند بدون نیاز به احراز هویت و بدون هیچ‌گونه تعامل کاربر، تنها با ارسال درخواست‌های HTTP دستکاری‌شده، مسیر فایل‌های دلخواه خود را در req.body.files مشخص کند. در ادامه، همان فایل‌ها در مراحل بعدی اجرای گردش‌کار مورد استفاده قرار می‌گیرند. به این ترتیب، مهاجم قادر خواهد بود فایل‌های لوکال حساس، از جمله فایل /etc/passwd، فایل پایگاه‌داده لوکال database.sqlite و فایل پیکربندی config را استخراج کند.
لازم به ذکر است که این آسیب‌پذیری تنها در گردش‌کارهایی قابل سوءاستفاده است که از نود Form Webhook برای دریافت ورودی کاربران استفاده می‌کنند. بنابراین، امکان سوءاستفاده از این ضعف به نحوه طراحی گردش‌کار، پیکربندی محیط استقرار و در دسترس بودن Endpoint وب‌هوک نیز بستگی دارد.
طبق گزارش پژوهشگران Cyera، دامنه سوءاستفاده از این آسیب‌پذیری تنها به خواندن فایل محدود نمی‌شود. در بسیاری از استقرارهای لوکال، اطلاعات کاربران در فایل database.sqlite و کلید رمزنگاری مورد استفاده برای امضای نشست‌ها در فایل config ذخیره می‌شود. مهاجم با استخراج این دو فایل می‌تواند شناسه کاربر، آدرس ایمیل، هش رمز عبور و کلید امضای نشست را به دست آورده و یک کوکی معتبر n8n-auth جعل کند. در نتیجه، مهاجم می‌تواند مکانیزم احراز هویت را دور زده و با حساب ادمین (Administrator) وارد سامانه شود.
مهاجم پس از ورود با حساب ادمین قادر خواهد بود گردش‌کارهای جدید ایجاد کرده یا نود Execute Command را اجرا کند. این نود امکان اجرای مستقیم دستورات سیستم‌عامل را فراهم می‌کند و در نتیجه، مهاجم می‌تواند به اجرای کد از راه دور (RCE) دست یابد.
بر اساس بردار CVSS، سوءاستفاده از این آسیب‌پذیری از طریق شبکه، بدون نیاز به هرگونه احراز هویت و بدون تعامل با کاربر امکان‌پذیر است. همچنین، تغییر دامنه اثرگذاری (Scope: Changed) نشان می‌دهد که پیامدهای حمله تنها به کامپوننت آسیب‌پذیر محدود نمی‌شود و می‌تواند سایر بخش‌های سامانه را نیز تحت تأثیر قرار دهد.
از منظر اثرگذاری، این آسیب‌پذیری محرمانگی (Confidentiality) و یکپارچگی (Integrity) اطلاعات را در سطح بالا (High) تحت تأثیر قرار می‌دهد. مهاجم می‌تواند فایل‌های حساس، اطلاعات کاربران، کلیدهای API، توکن‌های OAuth، اطلاعات اتصال به پایگاه داده، اطلاعات حساس رمزنگاری و سایر داده‌های ذخیره‌شده در n8n را استخراج کرده یا تغییر دهد. همچنین اگر این سامانه به سرویس‌هایی مانند گوگل درایو (Google Drive)، سیلزفورس (Salesforce)، سرویس‌های ابری، سامانه‌های مدیریت هویت (IAM)، پایپ‌لاین‌های CI/CD یا مدل‌های هوش مصنوعی متصل باشد، احتمال گسترش حمله به سایر سامانه‌های سازمان نیز وجود خواهد داشت. طبق اعلام رسمی n8n، این آسیب‌پذیری در نسخه 1.121.0 پچ شده است.
| Score | Severity | Version | Vector String |
| 10.0 | CRITICAL | 3.1 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N |
لیست محصولات آسیب پذیر
| Versions | Product |
| affected at >= 1.65.0, < 1.121.0 | n8n |
لیست محصولات بروز شده
| Versions | Product |
| 1.121.0 | n8n |
استفاده محصول در ایران
در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که n8n را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.
| Approx. Usage in .ir Domain via Google (Total Pages) | Search Query (Dork) | Product |
| 37,500 | site:.ir “n8n” | n8n |
نتیجه گیری
این آسیب‌پذیری یکی از بحرانی‌ترین ضعف‌های امنیتی منتشرشده برای n8n محسوب می‌شود؛ زیرا امکان سوءاستفاده از راه دور، بدون نیاز به احراز هویت و بدون تعامل کاربر را فراهم می‌کند. در صورت موفقیت حمله، مهاجم می‌تواند فایل‌های حساس سیستم را استخراج کرده، با جعل نشست احراز هویت، کنترل سامانه را در اختیار بگیرد و در بسیاری از استقرارهای لوکال به اجرای کد از راه دور (RCE) دست یابد. با توجه به اینکه n8n در بسیاری از سازمان‌ها به‌عنوان هسته مرکزی خودکارسازی گردش‌کارها و اتصال سرویس‌های مختلف مورد استفاده قرار می‌گیرد، سوءاستفاده از این آسیب‌پذیری می‌تواند پیامدهای گسترده‌ای برای کل زیرساخت سازمان به همراه داشته باشد.
برای کاهش ریسک این آسیب‌پذیری، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی فوری به نسخه امن: مؤثرترین و تنها راهکار قطعی برای رفع این آسیب‌پذیری، به‌روزرسانی n8n به نسخه 1.121.0 یا نسخه‌های جدیدتر است. سایر اقدامات تنها نقش تکمیلی داشته و نمی‌توانند جایگزین نصب نسخه پچ‌شده شوند.
- محدود یا غیرفعال کردن Endpointهای عمومی وب‌هوک و فرم‌ها: n8n هیچ راهکار رسمی برای رفع این آسیب‌پذیری ارائه نکرده است. با این حال، تا زمان نصب نسخه پچ‌شده، توصیه می‌شود Endpointهای عمومی وب‌هوک و فرم محدود یا در صورت امکان غیرفعال شوند تا احتمال سوءاستفاده کاهش یابد.
- محدودسازی دسترسی از طریق شبکه: در صورت نیاز به استفاده از وب‌هوک‌ها، دسترسی به آن‌ها را با استفاده از فایروال، فهرست مجاز آدرس‌های IP (IP Allowlist)، یا سایر کنترل‌های دسترسی شبکه محدود کنید تا تنها کاربران یا سامانه‌های مجاز امکان ارسال درخواست داشته باشند.
- عدم قرار دادن پنل مدیریت در اینترنت عمومی: از انتشار مستقیم پنل مدیریت n8n در اینترنت خودداری کرده و دسترسی به آن را تنها از طریق شبکه‌های امن یا VPN فراهم کنید.
- اجرای اصل حداقل سطح دسترسی (Principle of Least Privilege): سرویس n8n را با حداقل مجوزهای موردنیاز اجرا کنید تا در صورت موفقیت حمله، دامنه دسترسی مهاجم و میزان خسارت احتمالی محدود شود.
اجرای این اقدامات، به‌ویژه نصب فوری نسخه پچ‌شده، می‌تواند مسیرهای شناخته‌شده سوءاستفاده از این آسیب‌پذیری را مسدود کرده و احتمال افشای اطلاعات، دور زدن احراز هویت و اجرای کد از راه دور را به میزان قابل‌توجهی کاهش دهد.
منابع
- https://www.cve.org/CVERecord?id=CVE-2026-21858
- https://www.cvedetails.com/cve/CVE-2026-21858/
- https://github.com/n8n-io/n8n/security/advisories/GHSA-v4pr-fm98-w9pg
- https://vulmon.com/vulnerabilitydetails?qid=CVE-2026-21858
- https://vuldb.com/vuln/340000
- https://www.cyera.com/research-labs/ni8mare-unauthenticated-remote-code-execution-in-n8n-cve-2026-21858
- https://nvd.nist.gov/vuln/detail/CVE-2026-21858
- https://cwe.mitre.org/data/definitions/20.html
گزارش اثبات آسیب‌پذیری CVE-2026-21858
اطلاعات آسیب‌پذیری
عنوان: آسیب پذیری دسترسی غیرمجاز به فایل بدون احراز هویت در n8n بر اثر پردازش نادرست درخواست های وب هوک
شناسه: CVE-2026-21858
وضعیت مشاوره: Advisory / Patch Available
امتیاز: CVSS: 10 (Critical)
محصول: n8n Workflow Automation
محصول / نسخه‌های آسیب‌پذیر
در نسخه‌های زیر:
- n8n نسخه 1.65.0 تا قبل از 1.121.0
- مشاوره رسمی n8n بازه آسیب پذیر را به صورت >= 1.65.0 و < 1.121.0 اعلام کرده است
محیط‌های درگیر
- n8n به‌صورت Self-hosted و قابل دسترسی از اینترنت اجرا می‌شود
- تمام سازمان ها و کاربرانی که از n8n برای اتوماسیون گردش کار استفاده می‌کنند
- محیط های ابری، کانتینری، و سرورهایی که n8n روی آن ها اجرا می‌شود
کامپوننت‌های آسیب‌پذیر
- Webhook processing middleware
- تابع parseRequestBody
- پردازش Form Webhook
- Form Trigger و Form-based Workflow
- مدیریت فایل های ورودی و req.body.files
- تابع prepareFormReturnItem
- تابع کپی فایل به فضای ذخیره سازی محلی یا S3
ریشه مشکل (Root Cause Analysis)
ریشه آسیب‌پذیری، اعتماد بیش‌ازحد به ساختار req.body.files بدون اعتبارسنجی منبع واقعی آن است.
n8n بر اساس مقدار هدر Content-Type، مسیر پردازش درخواست را انتخاب می‌کند. در حالت عادی، درخواست فایل باید با multipart/form-data ارسال شود و parser فایل، مسیر موقت و کنترل شده ای برای فایل آپلود شده ایجاد می‌کند. مشکل زمانی ایجاد می‌شود که مسیر Form Webhook بدون بررسی قطعی Content-Type، تابع پردازش فایل را فراخوانی می‌کند. مهاجم می‌تواند درخواست را با نوعی مانند application/json ارسال کند و هم زمان ساختار داده ای شبیه req.body.files را در بدنه درخواست قرار دهد. در نتیجه، برنامه داده مهاجم را به عنوان فایل معتبر پردازش می‌کند. تابع پردازش فایل، مقدار filepath موجود در ساختار فایل را به عنوان مسیر فایل ورودی استفاده می‌کند. در صورت نبود اعتبارسنجی مناسب، این مقدار می‌تواند به مسیر یک فایل محلی روی سرور اشاره کند، نه به فایل واقعاً آپلود شده توسط کاربر. سپس محتوای فایل محلی به Workflow بعدی منتقل می‌شود.
مهاجم با استفاده از این نقص می‌تواند دو فایل حیاتی را از سرور n8n استخراج کند:
- فایل پایگاه داده n8n (database.sqlite)، که حاوی اطلاعات کاربران و گردش‌کارها است
- کلید رمزنگاری n8n، که برای رمزگشایی اطلاعات حساس استفاده می‌شود
با داشتن این دو فایل، مهاجم می‌تواند توکن های احراز هویت معتبر جعل کرده و به عنوان مدیر (Administrator) وارد سیستم شود. سپس با استفاده از قابلیت های مدیریتی n8n، می‌تواند گردش‌کارهایی ایجاد کند که دستورات دلخواه را روی سیستم میزبان اجرا کنند. این زنجیره حمله، آسیب پذیری را از افشای اطلاعات به اجرای کد از راه دور (RCE) تبدیل می‌کند.
بخش آسیب‌پذیر
رفتار ناامن سیستم:
n8n در اعتبارسنجی Content-Type درخواست های ورودی به webhook/form endpoints، به درستی عمل نمی‌کند. این نقص به مهاجم اجازه می‌دهد تا با ارسال درخواست های دستکاری شده، n8n را فریب دهد تا فایل های دلخواه از سیستم میزبان را بخواند و محتوای آن ها را در پاسخ برگرداند.
نحوه سوءاستفاده مهاجم:
- مهاجم یک endpoint عمومی Form یا Webhook را شناسایی می‌کند
- مهاجم Workflow را از نظر وجود ورودی فایل و مسیر بازگرداندن داده بررسی می‌کند
- درخواست عادی آپلود فایل را رهگیری و Content-Type آن را تغییر می‌دهد
- بدنه ای ساختار یافته ارسال می‌شود که شامل شیء کنترل شده files و مسیر فایل است
- n8n مسیر فایل را به عنوان داده معتبر دریافت می‌کند
- فایل محلی انتخاب شده در مسیر Workflow پردازش یا ذخیره می‌شود
- محتوای فایل از طریق خروجی Workflow، Knowledge Base، Chat یا یک مسیر دیگر قابل دریافت می‌شود
- در صورت دسترسی به فایل های حساس، مهاجم می‌تواند کلید رمزنگاری، اطلاعات کاربر، پایگاه داده و اعتبارنامه ها را استخراج کند
- در یک زنجیره تکمیلی، مهاجم می‌تواند نشست مدیریتی جعل کند و به قابلیت های مدیریتی n8n دسترسی پیدا کند
نقش این آسیب‌پذیری در زنجیره حمله
این آسیب‌پذیری یک نقطه ورود اولیه (Initial Access) بسیار قدرتمند و یک ابزار اجرای کد از راه دور (Remote Code Execution) در زنجیره حمله محسوب می‌شود. با توجه به نمره CVSS 10.0 (بحرانی) ، ماهیت شبکه‌ای، بدون نیاز به احراز هویت، و بدون نیاز به تعامل کاربر، مهاجم می‌تواند به سادگی و با یک درخواست HTTP، کنترل کامل سرور n8n را در دست بگیرد.
پیش‌نیازهای بهره‌برداری (Prerequisites)
- دسترسی شبکه، مهاجم باید بتواند به webhook/form endpoint های n8n درخواست HTTP ارسال کند
- استفاده از نسخه آسیب پذیر n8n
- در معرض اینترنت بودن، نمونه n8n باید از طریق شبکه قابل دسترسی باشد
- عدم نصب وصله امنیتی و عدم اعمال بروزرسانی های امنیتی
رفتار مورد انتظار در حالت امن (Expected Secure Behavior)
- قبل از پردازش فایل، Content-Type را دقیقاً بررسی کند
- فقط داده ای را که parser فایل معتبر تولید کرده، در req.body.files بپذیرد
- منشأ و ساختار هر شیء فایل را اعتبارسنجی کند
- مسیر فایل را canonicalize و با مسیرهای مجاز مقایسه کند
- اجازه ندهد filepath مستقیماً از ورودی کاربر پذیرفته شود
- فایل های ورودی را در مسیرهای موقت ایزوله ذخیره کند
- Form و Webhook های عمومی را به احراز هویت و محدودیت شبکه مجهز کند
- پردازش n8n را با حداقل سطح دسترسی سیستم عامل اجرا کند
- دسترسی n8n به فایل پایگاه داده و کلیدهای حساس را محدود کند
- در صورت مشاهده ورودی ناسازگار با Content-Type، درخواست را رد کند و رویداد امنیتی ثبت شود
راهکارها و کاهش ریسک (Mitigation / Patch Guidance)
اقدامات فوری برای کاهش ریسک:
- n8n را به نسخه 1.121.0 یا بالاتر ارتقا دهید
- تا زمان نصب وصله، Form و Webhook های عمومی را از اینترنت خارج یا دسترسی آن ها را محدود کنید.
- تمام Workflow های دارای Form Trigger، Webhook و آپلود فایل را فهرست کنید
- نسخه n8n را در تمام Container ها، ماشین های مجازی و نصب های مستقل بررسی کنید
- اگر نمونه ای پیش از وصله از اینترنت قابل دسترسی بوده است، احتمال افشای Credential ها را جدی بگیرید
اقدامات کوتاه‌مدت / میان‌مدت برای کاهش ریسک:
- چرخش (Rotate) کلیدهای API، توکن ها و رمزهای عبور ذخیره‌شده در n8n
- بررسی لاگ های n8n برای شناسایی الگوهای دسترسی مشکوک به webhook endpoints
- پیاده سازی قوانین WAF برای شناسایی درخواست های با Content-Type دستکاری شده
- بازبینی گردش‌کارهای موجود برای شناسایی هرگونه تغییر غیرمجاز
اقدامات بلندمدت برای کاهش ریسک:
- استقرار راهکارهای خودکار بروزرسانی امنیتی برای n8n
- پیاده سازی Network Segmentation برای جداسازی سرویس های حیاتی از اینترنت
- اجرای دوره ای اسکن آسیب پذیری و تست نفوذ روی زیرساخت n8n
تشخیص و مانیتورینگ (Detection & Monitoring)
نشانه‌های تلاش برای سوءاستفاده:
- درخواست POST به مسیرهای /form/ یا /webhook/ با Content-Type غیرمنتظره مانند application/json
- وجود کلیدهایی مانند files، filepath یا path در بدنه درخواست
- استفاده از مسیرهای غیرمعمول یا الگوهای path traversal
- دسترسی پردازش n8n به فایل های database.sqlite، config یا فایل های محیطی
- خواندن فایل های سیستمی توسط کاربر سرویس n8n
- ایجاد نشست مدیریتی جدید بدون ورود معمولی کاربر
- ایجاد Workflow یا Credential جدید پس از درخواست مشکوک
- اجرای پردازه های shell یا child process از طرف n8n
- ارتباط خروجی غیرمعمول از کانتینر n8n به اینترنت
منابع پیشنهادی برای مانیتورینگ و پایش:
- لاگ‌های n8n، برای شناسایی درخواست های مشکوک به webhook endpoints
- لاگ های وب سرور (Nginx/Apache، برای شناسایی الگوهای Content-Type غیرعادی
- لاگ های ابزارهای EDR سازمانی برای رصد رفتار حافظه و فرآیندها
- سیستم های SIEM (مانند Splunk، ELK) برای تحلیل مرکزی لاگ ها
- راهکارهای WAF/IPS با قوانین اختصاصی برای شناسایی حملات به n8n (مانند Check Point CPAI-2026-0252)
واکنش به حادثه (Incident Response)
- نمونه n8n را از اینترنت جدا کنید، اما پیش از پاک سازی، لاگ ها و Snapshot لازم را حفظ کنید
- لاگ های Reverse Proxy، WAF، Container و n8n را جمع آوری کنید
- درخواست های Form و Webhook را بر اساس زمان، IP، Content-Type و مسیر بررسی کنید
- تغییرات Workflow، Credential، کاربر و نشست مدیریتی را استخراج کنید
- فایل پایگاه داده و پیکربندی را از نظر دسترسی غیرمجاز بررسی کنید
- تمام Secret ها، Token ها و Credential های متصل به n8n را باطل و مجدداً ایجاد کنید
- در صورت مشاهده RCE، Container یا میزبان را از یک Image پاک و معتبر بازسازی کنید
- دسترسی سرویس n8n به Google Drive، پایگاه داده، CI/CD، سیستم های پرداخت و API های سازمانی را بررسی کنید
- سیستم های متصل را برای استفاده غیرمجاز از Token های ذخیره شده بررسی کنید
- پس از نصب وصله، فقط Workflow های مورد نیاز را با احراز هویت و محدودیت شبکه فعال کنید
- مستندسازی کامل حادثه (زمان وقوع، نشانه‌ها، اقدامات انجام‌شده، درس‌آموخته‌ها) و گزارش به مدیریت ارشد و تیم واکنش سریع (CSIRT)
جریان حمله (Attack Flow)
در نمودار زیر (شکل ۱)، مهاجم با ارسال یک درخواست HTTP دستکاری شده به n8n، پایگاه داده و کلید رمزنگاری را استخراج کرده و سپس با جعل توکن مدیر، کنترل کامل سرور را به دست می‌گیرد.
اثبات مفهوم (PoC) — کاملاً غیرمخرب
آزمایشگاه تخصصی Vulnerbyte، این آسیب‌پذیری را در محیط ایزوله و کنترل‌شده با استفاده از نسخه آسیب‌پذیر بررسی و اجرا کرده است
- این آزمایشگاه شامل نسخه آسیب‌پذیر n8nاست
- اجرای PoC در محیط آزمایشگاهی منجر به اجرای کد از راه دور (RCE) شد
- این اثبات مفهوم صرفاً توصیفی و آموزشی بوده و شامل تغییرات مخرب نمی‌شود
رفع مسئولیت
این گزارش صرفاً با هدف آموزش، تحلیل فنی و ارتقای امنیت سازمانی تهیه شده است. هرگونه استفاده مخرب یا خارج از چارچوب‌های قانونی از محتوای آن ممنوع است.
منابع
https://www.cve.org/CVERecord?id=CVE-2026-21858
https://nvd.nist.gov/vuln/detail/CVE-2026-21858
https://web.archive.org/web/20260302120122/https://github.com/Chocapikk/CVE-2026-21858
https://github.com/sh4den/CVE-2026-21858
https://github.com/kaleth4/CVE-2026-21858
https://cwe.mitre.org/data/definitions/20.html
n8n
CVE-2026-21858 – Unauthenticated Remote Code Execution via Content-Type Confusion (Ni8mare)
Affects
- n8n (open-source workflow automation platform)
- Versions:
- 1.65.0 through 1.120.9
- Versions prior to 1.121.0 are vulnerable
- Version 1.121.0 and later are patched
- Components:
- Webhook and form request handling logic
parseRequestBody()function
- Files:
- n8n core request parsing modules
- Functions:
parseRequestBody()– handles Content-Type validation and request parsing- Form/webhook workflow execution handlers
NOT VULNERABLE:
- n8n version 1.121.0 and later
Description
CVE-2026-21858, nicknamed “Ni8mare” , is a critical unauthenticated remote code execution vulnerability in n8n, discovered by security researchers at Cyera and disclosed in January 2026 .
The vulnerability stems from a Content-Type confusion flaw in how n8n parses incoming webhook and form requests . Specifically, the parseRequestBody() function does not adequately validate or enforce multipart form content types, allowing attackers to override internal request parsing state through manipulation of the Content-Type header in conjunction with the req.body.files object .
This logic bug enables unauthenticated attackers to:
- Read arbitrary files from the underlying server filesystem
- Extract sensitive internal secrets (database files, authentication keys, encryption secrets)
- Forge valid administrator authentication sessions
- Construct and execute arbitrary operating system commands, leading to full server takeover
The issue stems from CWE-20: Improper Input Validation and flawed logic in how webhook payloads are parsed, enabling manipulation of internal variables that control file handling .
Key technical characteristics:
- CWE: CWE-20 – Improper Input Validation
- CVSS Score: 10.0 (Critical)
- Attack vector: Remote / Unauthenticated
- User interaction: None
- Attack complexity: Low
- Public PoC: Multiple proof-of-concept samples published
- Active exploitation: Confirmed – widespread exploitation underway
Attack Vector
Primary Attack Vector:
Remote / Unauthenticated (Network Access to n8n Webhook/Form Endpoints)
Attack Scenario:
- An attacker identifies a vulnerable n8n instance exposed to the internet or accessible over the network (Censys telemetry reports approximately 26,512 publicly exposed instances)
- The attacker crafts a malicious HTTP request with a manipulated
Content-Typeheader andreq.body.filesobject that confuses n8n’sparseRequestBody()function - The server processes the request and returns the contents of arbitrary files from the underlying filesystem
- The attacker can chain this arbitrary file read to exfiltrate:
- The n8n database (a plaintext SQLite file containing user credentials and workflow data)
- The n8n encryption key (often stored in the same way for containerized deployments)
- With these two files, the attacker can forge valid authentication tokens and access the n8n instance as an administrator
- Once authenticated as an administrator, the attacker can create workflows that execute arbitrary system commands on the host, achieving complete server compromise
Key Characteristics:
| Attribute | Details |
|---|---|
| Attack Vector | NETWORK |
| Attack Complexity | LOW |
| Privileges Required | NONE |
| User Interaction | NONE |
| Scope | CHANGED |
| Confidentiality Impact | HIGH |
| Integrity Impact | HIGH |
| Availability Impact | NONE |
| Exploit Availability | Yes – multiple public PoCs available |
| Active Exploitation | Confirmed |
Conditions Affecting Risk:
- Public exposure of n8n webhook/form endpoints
- Default configuration unchanged
- Lack of network segmentation for automation workloads
- Containerized deployments (where encryption keys are stored predictably)
Impact
Successful exploitation allows an unauthenticated remote attacker to:
- Read arbitrary files from the server filesystem
- Extract sensitive secrets – database files, API keys, authentication tokens, encryption secrets
- Forge valid administrator authentication sessions – bypassing authentication entirely
- Execute arbitrary operating system commands via crafted workflows
- Fully compromise the host server, leading to complete system takeover
- Move laterally within the network using the compromised system as a pivot point
| Impact Area | Level | Description |
|---|---|---|
| Confidentiality | HIGH | Full access to system files and secrets |
| Integrity | HIGH | Complete control over workflows and system |
| Availability | NONE | Service remains functional, but compromised |
Observed Exploitation & Threat Activity
- Discovery: Dor Attias of Cyera Research
- CVE Assignment: January 7, 2026
- Public Disclosure: January 8, 2026
- Patch Availability: Fixed in version 1.121.0 (released November 18, 2025)
- Public PoC: Multiple proof-of-concept samples published
- Active Exploitation: Confirmed – widespread exploitation is already underway
- CVSS Score: 10.0 (Critical)
- CISA SSVC Assessment: Exploitation: none (as of January 2026) / Automatable: yes / Technical Impact: total
- EPSS Score: 6.4 – 71.65% (high probability of exploitation)
Disclosure Timeline:
| Date | Event |
|---|---|
| November 18, 2025 | n8n releases version 1.121.0 with the fix |
| January 7, 2026 | CVE assigned and published |
| January 8, 2026 | Public disclosure by Cyera Research |
| January 2026 | Multiple PoCs published |
| January 2026 – Present | Active exploitation campaigns confirmed |
Threat Intelligence:
- Nickname: Ni8mare
- Estimated exposed instances: ~26,512 (publicly accessible)
- Estimated impact: Potentially affects up to 100,000 servers globally
- Threat actor activity: Scanning and exploitation tools actively targeting vulnerable instances
Severity & Metrics
- CVSS v3.1 (GitHub CNA): Critical (10.0)
- Attack Vector: NETWORK
- Attack Complexity: LOW
- Privileges Required: NONE
- User Interaction: NONE
- Scope: CHANGED
- Confidentiality Impact: HIGH
- Integrity Impact: HIGH
- Availability Impact: NONE
Vector String: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
Additional Scoring:
- CVSS v4.0: Pending analysis
- EPSS Score: 6.4 – 71.65% (high probability of exploitation)
- EPSS Percentile: 91%
- Exploitability Score: 3.9
- Impact Score: 5.8
Relevant CWE:
- CWE-20 – Improper Input Validation
Patch & Vendor Status
- Official Patches Available: Yes – version 1.121.0 (released November 18, 2025)
- Vendor: n8n-io
Fixed Versions:
| Version | Status |
|---|---|
| 1.121.0 and later | Fixed |
| 1.65.0 – 1.120.9 | Vulnerable |
| Prior to 1.65.0 | Not affected (vulnerability introduced in 1.65.0) |
GitHub Security Advisory: GHSA-v4pr-fm98-w9pg
Update Methods:
| Deployment Type | Method |
|---|---|
| npm installation | npm update -g n8n |
| Docker containers | Pull latest image: docker pull n8nio/n8n:latest |
| Self-hosted deployments | Upgrade to version 1.121.0 or later via standard update process |
| Cloud / Managed instances | Check with provider for patch status |
Mitigation & Remediation
Immediate Actions
| Action | Method |
|---|---|
| Upgrade n8n to 1.121.0 or later | Apply the update immediately – this is the highest priority |
| Restrict network exposure | If patching is delayed, isolate n8n from the internet; deploy behind firewalls, VPN, or internal networks |
| Require authentication | Enforce authentication for all form submissions and webhook endpoints |
| Rotate credentials | Rotate API keys, tokens, and encryption secrets stored in n8n if exposure is suspected |
| Audit logs | Review for suspicious access patterns to webhook endpoints |
Critical Reminder: This vulnerability is actively exploited in the wild. Apply patches immediately .
Short-Term Defensive Measures
If patching cannot be applied immediately:
- Temporarily disable or block publicly accessible webhook/form endpoints
- Restrict access to trusted IP addresses using firewall rules
- Deploy Web Application Firewall (WAF) rules for n8n webhook traffic anomalies (e.g., malformed Content-Type requests)
- Implement intrusion detection for n8n-specific traffic patterns
Important Note: No workaround fully addresses the root cause of this vulnerability. Patching is the only complete mitigation.
Long-term Defensive Measures
- Avoid exposing n8n to the public internet unless absolutely necessary
- Isolate n8n services network-wise from critical systems
- Implement network segmentation for automation workloads
- Block high-risk workflow nodes using n8n’s built-in node-blocking capabilities
- Review automated workflow designs for overly broad input acceptance
- Regularly audit logs for unusual access patterns
Detection & Monitoring
Recommended Detection Sources:
| Source | Purpose |
|---|---|
| Check Point IPS | Protection signature: CPAI-2026-0252 |
| FortiGuard | Threat signal report coverage |
| Vulnerability scanners | Detect vulnerable n8n versions |
| Network monitoring | Identify traffic to n8n webhook endpoints |
| EDR / CNAPP | Detect affected packages in user environments |
| SIEM | Monitor for suspicious access patterns |
Indicators of Attempted Exploitation:
- Malformed
Content-Typeheaders in requests to n8n webhook endpoints - Unusual file access patterns (e.g., reading
/etc/passwd, database files, encryption keys) - Unexpected workflow executions with system commands
- Unauthorized session creation or privilege escalation
- Abnormal network traffic from n8n servers
Detection Strategy:
- Inventory n8n instances across your organization
- Check versions against patched releases:
- Version 1.121.0 or later: Not vulnerable
- Version 1.65.0 – 1.120.9: Vulnerable – patch immediately
- Check for public exposure – any n8n instance accessible from the internet is at high risk
- Review logs for exploitation patterns
Post-Incident Response
If exploitation is suspected:
- Isolate affected system from the network immediately to prevent lateral movement
- Preserve forensic evidence (system logs, webhook traffic logs, network captures)
- Determine if n8n is internet-facing – if yes, assume compromise
- Extract and exfiltrate n8n database – verify if attacker may have accessed it
- Rotate all credentials and secrets stored in n8n (API keys, tokens, encryption secrets)
- Reset all n8n user passwords and sessions
- Regenerate encryption keys – if the encryption key was exposed, all encrypted data is at risk
- Audit for backdoors – check for unauthorized workflows, user accounts, or modifications
- Assume full compromise – Do not attempt to “clean” the system without rebuilding
- Rebuild from trusted, clean installation after patching
- Extend investigation to any systems accessible from the compromised host
- Report to relevant CSIRT/CERT authorities as required
For Enterprise Environments:
- Apply patches through enterprise deployment tools immediately
- Block traffic to known malicious IPs
- Review all n8n instances for compliance
- Document the incident timeline and indicators for reporting
References
- https://github.com/n8n-io/n8n/security/advisories/GHSA-v4pr-fm98-w9pg
- https://nvd.nist.gov/vuln/detail/CVE-2026-21858
- https://www.cyera.com/research-labs/ni8mare-unauthenticated-remote-code-execution-in-n8n-cve-2026-21858
- https://advisories.checkpoint.com/defense/advisories/public/2026/cpai-2026-0252.html
- https://www.fortiguard.com/threat-signal-report/6309/n8n-unauthenticated-remote-code-execution
- https://www.incibe.es/en/incibe-cert/early-warning/vulnerabilities/cve-2026-21858
- https://csirt.ncc.gov.ng/index.php/resources/security-advisories/392-tlp-clear-ngcert-security-advisory-on-critical-ni8mare-vulnerability-affecting-n8n-workflow-automation-platform
- https://cwe.mitre.org/data/definitions/20.html
بررسی آماری آسیب پذیری CVE-2026-21858 در کشور ایران
محصول آسیب پذیر: n8n
میزان استفاده در ایران بر اساس سایت های آمار مرتبط با محصول
n8n به عنوان یک پلتفرم منبع باز و محبوب در سطح جهان، به ویژه در میان توسعه دهندگان و شرکت های فعال در حوزه فناوری اطلاعات ایران، برای خودکارسازی فرآیندها، اتصال سرویس های مختلف (API، SaaS، پایگاه های داده) و یکپارچه سازی سیستم ها مورد استفاده قرار می‌گیرد. اگرچه آمار دقیقی از تعداد نصب این پلتفرم در کشور منتشر نشده است، شواهد متعددی حاکی از استفاده قابل توجه از آن در ایران است.
میزان استفاده در ایران بر اساس موتورهای جستجو (بر اساس ایندکس های گوگل در بخش tools)
تعداد در زمان نگارش گزارش
|
موتور جستجو |
Dork |
تعداد |
|
|
site:.ir “n8n” |
37,200 |
وجود نمایندگی در ایران
پلتفرم n8n به عنوان یک پروژه منبع باز (Open Source) توسط شرکت n8n GmbH توسعه داده می‌شود. این شرکت دفتر رسمی یا نمایندگی در ایران ندارد. کاربران ایرانی برای دریافت بروزرسانی های امنیتی و پشتیبانی از این پلتفرم، عمدتاً به مخازن رسمی (GitHub)، مستندات آنلاین و انجمن های کاربران وابسته هستند. هیچ گونه پشتیبانی رسمی از طرف شرکت سازنده در کشور وجود ندارد.
میزان استفاده بر اساس گزارشات تحقیقات بازار برای این محصول در ایران
اگرچه آمار رسمی و دقیقی از تعداد سیستم‌های آسیب‌پذیر در ایران وجود ندارد، اما شواهد زیر نشان‌دهنده سطح قابل توجه ریسک است.
- کاربرد حیاتی n8n در خودکارسازی: n8n به عنوان یک ابزار قدرتمند برای اتصال و خودکارسازی سرویس های مختلف، در بسیاری از شرکت های نرم‌افزاری، استارتاپ ها و سازمان های ایرانی برای یکپارچه سازی سیستم ها، اتوماسیون بازاریابی، پردازش داده و مدیریت زیرساخت استفاده می‌شود. این پلتفرم معمولاً به سرویس های حساسی مانند پایگاه های داده، سرویس های ابری (AWS, GCP)، پیام رسان ها و سیستم های CI/CD متصل است و به طیف گسترده ای از کلیدهای API، توکن ها و اعتبارنامه ها دسترسی دارد.
- تخمین میزان استفاده: با توجه به تعداد نمونه های در معرض خطر در سطح جهان و سهم تخمینی ایران (حدود ۱.۵٪)، می‌توان تخمین زد که حداقل چند صد تا چند هزار نمونه n8n در ایران به طور مستقیم در معرض اینترنت قرار دارند و به طور بالقوه در معرض این آسیب پذیری هستند. این تعداد شامل سرورهای توسعه، تست و تولید شرکت های مختلف می‌شود که ممکن است هنوز وصله امنیتی را اعمال نکرده باشند.
