La vulnerabilità , identificata come CVE-2026-21858, della quale avevamo parlato recentemente, colpisce circa 100.000 server in tutto il mondo, minacciando di esporre chiavi API, database dei clienti e flussi di lavoro di intelligenza artificiale proprietari.
La vulnerabilità, con un punteggio CVSS di 10, presenta una catena di exploit Proof-of-Concept (PoC) pubblica, pertanto i malintenzionati del cibercrimine stanno pianificando di approfittarne. n8n è un “sistema nervoso centrale” dell’automazione, e consente ad aggressori non autenticati di assumere il pieno controllo del server.
Il problema si verifica nel nodo webhook del modulo, utilizzato per il caricamento dei file. La funzione che gestisce questi caricamenti, prepareFormReturnItem, presuppone che req.body.files contenga file caricati legittimamente. Tuttavia, non riesce a verificare che la richiesta fosse effettivamente multipart/form-data.
 Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
In sostanza, la vulnerabilità è un errore logico nel modo in cui n8n elabora le richieste HTTP in arrivo, in particolare una “Content-Type Confusion”.
Ciò consente a un aggressore di eseguire un trucco semplice ma mortale:
Poiché l’applicazione si fida di questo input, “copia” il file di sistema interno e lo restituisce all’aggressore, concedendogli una primitiva di lettura di file arbitrari.
Sebbene la lettura dei file sia dannosa, il rapporto di Cyera descrive in dettaglio come questa primitiva tecnica possa essere sfruttata per prendere il controllo completo del server. Il percorso di attacco è metodico e spaventosamente efficace:
Il ricercatore di sicurezza Chocapikk ha già pubblicato una Proof-of-Concept (PoC) che collega questa vulnerabilità a un’altra falla (CVE-2025-68613) per ottenere l’esecuzione di codice remoto (RCE) non autenticata.
Il “raggio di esplosione” è enorme.
Poiché n8n è progettato per connettere sistemi eterogenei, un’istanza compromessa fornisce agli aggressori le chiavi di tutto ciò che tocca: “Google Drive aziendale, chiavi API OpenAI, dati Salesforce, sistemi IAM, processori di pagamento” e altro ancora.
Non esistono soluzioni alternative ufficiali per questa vulnerabilità.
Si consiglia agli amministratori di aggiornare immediatamente n8n alla versione 1.121.0 o successiva per porre fine alla falla.
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Vulnerabilità
Cultura
Cyberpolitica
Cybercrime
Cybercrime