近6万个在线暴露的n8n实例仍未修复一个被称为"Ni8mare"的最高严重性漏洞。

n8n是一个开源工作流自动化平台，允许用户通过预构建的连接器和基于节点的可视化界面连接不同应用程序与服务，无需编写代码即可自动化重复性任务。

由于n8n作为核心自动化枢纽，通常存储着API密钥、OAuth令牌、数据库凭证、云存储访问权限、CI/CD密钥和业务数据，这使其成为威胁行为者的诱人目标。

该安全漏洞编号为CVE-2026-21858，源于输入验证不当缺陷，允许未经身份验证的远程攻击者在获取底层服务器文件访问权限后，控制本地部署的n8n实例。

n8n团队解释道："存在漏洞的工作流可能向未经身份验证的远程攻击者授予访问权限。这可能导致系统存储的信息泄露，并根据部署配置和工作流使用情况可能引发进一步危害。"

"如果n8n实例存在包含以下配置的活跃工作流则可能受到攻击：包含接收文件元素的表单提交触发器，以及返回二进制文件的表单结束节点。"

发现Ni8mare漏洞的研究人员于11月初向n8n报告称，该漏洞是n8n解析数据时出现的内容类型混淆问题，可被利用来暴露实例存储的密钥、伪造会话Cookie绕过身份验证、向工作流注入敏感文件，甚至执行任意命令。

上周末，互联网安全监督组织Shadowserver发现105,753个未修复实例在线暴露，截至周日仍有59,558个实例处于暴露状态，其中超过28,000个IP位于美国，21,000多个位于欧洲。

在线暴露的易受攻击n8n实例分布（Shadowserver）

为防范潜在攻击，建议管理员尽快将其n8n实例升级至1.121.0或更高版本。

虽然n8n开发人员表示目前没有针对Ni8mare的官方临时解决方案，但无法立即升级的管理员可通过限制或禁用公开访问的webhook和表单端点来阻挡潜在攻击。

n8n团队还为希望扫描实例中潜在漏洞工作流的管理员提供了此工作流模板。

简单来说就是只要有方出 n8n 的文件上传页出去 就能被攻击
影响所有小于 1.121.0 版本的 n8n

前几天刚来一个 py 节点任意执行。。。

详细内容:

https://www.cve.org/CVERecord?id=CVE-2026-21858

最高危Ni8mare漏洞允许黑客劫持n8n服务器

                        By

12:41 PM

一个被称为“Ni8mare”的最高严重性漏洞允许远程、未经身份验证的攻击者控制本地部署的N8N工作流自动化平台实例。

该安全问题被标识为CVE-2026-21858，严重性评分为10分（满分10分）。根据数据安全公司Cyera的研究人员称，存在超过100,000台易受攻击的n8n服务器。

n8n是一个开源工作流自动化工具，允许用户通过可视化编辑器将应用程序、API和服务连接成复杂的工作流。它主要用于自动化任务，并支持与人工智能和大型语言模型（LLM）服务的集成。

Ni8mare漏洞详情

Ni8mare漏洞使攻击者能够通过执行某些基于表单的工作流来访问底层服务器上的文件。

n8n开发者表示：“易受攻击的工作流可能向未经身份验证的远程攻击者授予访问权限。这可能导致系统上存储的敏感信息暴露，并可能根据部署配置和工作流使用情况，引发进一步的系统危害。”

Cyera研究人员发现了Ni8mare漏洞（CVE-2026-21858），并于2025年11月9日向n8n报告。他们指出，该安全问题是n8n解析数据方式中存在的内容类型混淆。

n8n使用两个函数来处理传入数据，基于webhook中配置的'content-type'头部（webhook是通过监听特定消息来触发工作流中事件的组件）。

当webhook请求被标记为multipart/form-data时，n8n将其视为文件上传，并使用特殊的上传解析器将文件保存在随机生成的临时位置。

“这意味着用户无法控制文件的最终存储位置，从而防止了路径遍历攻击。”

然而，对于所有其他内容类型，n8n则使用其标准解析器。

Cyera发现，通过设置不同的内容类型（例如application/json），攻击者可以绕过上传解析器。

存在缺陷的解析器逻辑

来源：Cyera

Cyera解释道：“由于调用此函数时未验证内容类型是否为multipart/form-data，我们控制了整个req.body.files对象。这意味着我们控制了filepath参数——因此，我们不是复制上传的文件，而是可以复制系统中的任何本地文件。”

这允许从n8n实例中读取任意文件，通过将内部文件添加到工作流的知识库中，可能暴露密钥信息。

Cyera表示，这可能被滥用以暴露实例上存储的密钥、将敏感文件注入工作流、伪造会话cookie以绕过身份验证，甚至执行任意命令。

触发Ni8mare（CVE-2026-21858）以访问数据库

来源：Cyera

Cyera强调，n8n通常存储API密钥、OAuth令牌、数据库凭证、云存储访问权限、CI/CD密钥和业务数据，使其成为中心自动化枢纽。

n8n开发者表示，目前没有针对Ni8mare的官方临时解决方案，但一种缓解措施是限制或禁用可公开访问的webhook和表单端点。

建议的操作是更新到n8n 1.121.0或更高版本。