CVE-2026-42232 CVSS 8.8 高危

CVE-2026-42232 n8n原型污染致远程代码执行漏洞

披露日期: 2026-05-04

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-42232

漏洞类型

原型污染

CVSS评分

8.8 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

n8n

漏洞概述

n8n开源工作流自动化平台存在严重安全漏洞。在受影响版本中，具备工作流编辑权限的认证用户可利用XML节点特性实施全局原型污染攻击。通过结合其他特定节点的功能，攻击者能够将此漏洞升级为远程代码执行（RCE），从而完全控制服务器。该漏洞威胁等级高，建议尽快修复。

技术细节

该漏洞核心在于n8n处理XML节点时的原型污染缺陷。攻击者通过构造恶意的XML输入，利用不安全的解析逻辑向JavaScript的Object.prototype中注入任意属性。由于原型继承机制的存在，这种污染会波及后续创建的所有对象。当工作流中后续节点（如Function节点或HTTP Request节点）访问或调用被污染的属性时，攻击者预埋的逻辑将被激活。虽然漏洞触发需要低权限认证，但在多用户协作环境中，攻击者可借此突破沙箱限制，在服务器上下文中执行任意系统命令，造成数据泄露或系统被控。

攻击链分析

STEP 1

认证访问

攻击者使用有效凭证登录n8n平台，并获取创建或修改工作流的权限。

STEP 2

注入污染

攻击者在工作流中添加XML节点，并输入特制的恶意XML数据，利用该节点漏洞污染JavaScript全局原型。

STEP 3

触发执行

攻击者配置后续节点（如Function节点）调用被污染的属性或方法，触发恶意代码执行。

STEP 4

获取控制

服务器执行攻击者指定的任意系统命令，攻击者从而获得服务器远程控制权。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

// Conceptual PoC for CVE-2026-42232
// 1. Attacker creates a workflow with an XML Node.
// 2. Input malicious XML to pollute Object.prototype
const payload = `
<root>
    <__proto__>
        <executed>require('child_process').exec('whoami')</executed>
    </__proto__>
</root>`;

// 3. Add a subsequent node (e.g., Code Node) that triggers the pollution
function executeNode(input) {
    // Accessing the polluted property triggers the RCE
    if (input.executed) {
        eval(input.executed);
    }
}

影响范围

n8n < 1.123.32

n8n < 2.17.4

n8n < 2.18.1

防御指南

临时缓解措施

若无法立即升级，应暂时禁用XML节点的使用或严格限制只有管理员可创建包含XML节点的工作流。同时，加强对服务器进程的监控，及时发现异常的命令执行行为。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表