CVE-2026-21858: los flujos de trabajo con formularios de n8n exponen archivos del servidor a atacantes remotos no autenticados

Las versiones de n8n desde la 1.65.0 hasta la 1.120.x permiten a atacantes no autenticados leer archivos arbitrarios del servidor subyacente mediante la ejecución de flujos de trabajo basados en formularios. CVSS 10.0. Actualice inmediatamente a la versión 1.121.0.

¿Qué es CVE-2026-21858?

n8n es una plataforma de código abierto ampliamente implementada para automatizar flujos de trabajo. CVE-2026-21858 es una vulnerabilidad de salto de directorio en el motor de ejecución de flujos de trabajo basados en formularios de n8n. Cuando los flujos de trabajo activados mediante formularios procesan rutas de archivos proporcionadas por los usuarios, una depuración insuficiente permite a los atacantes salir de los directorios previstos y leer archivos arbitrarios del servidor, incluidas credenciales, variables de entorno y configuraciones confidenciales.

Objetivos de alto valor en un servidor n8n

• /root/.n8n/database.sqlite — todas las credenciales de los flujos de trabajo en texto sin formato
• /etc/passwd, /etc/shadow — cuentas de usuario del sistema
• ~/.aws/credentials — claves de acceso de AWS
• Archivos .env — claves de API y contraseñas de bases de datos
• /proc/self/environ — variables del entorno de ejecución
• Claves privadas SSH, certificados TLS y configuraciones de aplicaciones

Versiones afectadas

• Vulnerables: n8n desde la versión 1.65.0 hasta la 1.120.x (todas las versiones)
• No vulnerables: versiones anteriores a la 1.65.0 (la función no está presente), versión 1.121.0 y posteriores (corregidas)

Métodos de detección

Compruebe su versión de n8n

# Comprobar la versión instalada
n8n --version
# o
cat node_modules/n8n/package.json | grep '"version"'

# Docker
docker exec n8n-container n8n --version

Audite los flujos de trabajo con formularios activos

Revise todos los flujos de trabajo que contengan nodos Form Trigger. Cualquier flujo de trabajo que lea archivos o procese rutas de archivos procedentes de campos de formularios debe considerarse potencialmente vulnerable hasta que se aplique el parche. Deshabilite los flujos de trabajo con formularios públicos en las instancias sin parchear.

Pasos de mitigación

1. Actualice inmediatamente a n8n v1.121.0 — esta es la única solución completa.
2. Mitigación temporal: deshabilite todos los flujos de trabajo activados mediante formularios hasta que pueda actualizar.
3. Aislamiento de red: coloque n8n detrás de un sistema de autenticación (VPN, SSO) para impedir el acceso no autenticado.
4. Rote todas las credenciales: si ejecutó una versión vulnerable con flujos de trabajo de formularios públicos, dé por comprometidas todas las credenciales almacenadas en n8n y rótelas inmediatamente.
5. Revise los registros de acceso: busque patrones de salto de directorio (../, %2e%2e%2f) en los registros de solicitudes de webhooks.

Capacidad de detección de KENSAI

KENSAI busca CVE-2026-21858 y vulnerabilidades de salto de directorio en todas las plataformas de automatización:

• Pruebas automatizadas de salto de directorio en endpoints de webhooks y formularios
• Identificación de versiones de n8n y correlación de vulnerabilidades
• Evaluación de la exposición de credenciales en implementaciones de plataformas de automatización
• Supervisión continua de nuevos endpoints expuestos de flujos de trabajo con formularios