CVE-2026-21858

Nome do Software Vulnerável e Versões Afetadas n8n versões 1.65.0 até 1.120.x

Descrição Um problema de execução remota de código não autenticado existe na plataforma de automação de fluxo de trabalho n8n devido a um erro de incompatibilidade de Content-Type na forma como o sistema processa solicitações de webhook de formulário. O middleware determina o analisador com base no cabeçalho Content-Type, mas o Form Webhook Node não valida esse cabeçalho antes de processar os arquivos. Um invasor pode alterar o Content-Type de multipart/form-data para application/json e enviar um payload manipulado para sobrescrever o objeto req.body.files, incluindo o caminho do arquivo. Isso permite a leitura arbitrária de arquivos do sistema, incluindo o banco de dados SQLite local e arquivos de configuração contendo segredos de criptografia. Ao obter esses arquivos, um invasor pode forjar um cookie de sessão de administrador para obter acesso não autorizado e usar o nó Execute Command para executar código arbitrário no servidor. Aproximadamente 100.000 servidores em todo o mundo estão potencialmente afetados. Atividades no mundo real foram observadas envolvendo uma campanha de varredura de infraestrutura francesa usando um agente de usuário personalizado n8n-scanner/1.0 para identificar endpoints vulneráveis em sistemas Debian 12.

Recomendações Atualize o n8n para a versão 1.121.0 ou posterior. Restrinja ou desative endpoints de formulários e webhooks publicamente acessíveis como mitigação temporária. Evite expor o n8n diretamente à internet sem uma VPN ou autenticação adicional. Exija autenticação em todos os formulários públicos. Rotacione todas as credenciais e chaves de API armazenadas se houver suspeita de comprometimento anterior.