CVE-2026-21877 — 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：n8n 工作流自动化工具存在**代码注入/任意文件写入**漏洞。 💥 **后果**：攻击者可执行**恶意代码**，导致**完全破解**服务器，风险极高。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-94（代码注入）。 🛠 **缺陷点**：Git 节点存在逻辑缺陷，允许经过身份验证的用户**覆盖关键文件**并执行不受信任的代码。
Q3影响谁？（版本/组件）
📦 **产品**：n8n (n8n-io)。 📅 **版本**：**0.121.2 及之前版本**受影响。 ☁️ **范围**：同时影响**自托管**和 **n8n Cloud** 实例。
Q4黑客能干啥？（权限/数据）
👑 **权限**：攻击者可获得**完全控制权**（Full System Compromise）。 📂 **数据**：可读取、修改任意数据，甚至植入后门。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：中等。 ✅ **条件**：需要**经过身份验证**（Authenticated）。 🚫 **无需**：用户交互（UI:N）。 🌐 **网络**：远程（AV:N）。
Q6有现成Exp吗？（PoC/在野利用）
💣 **Exp**：有现成 PoC。 🔗 **来源**：GitHub 上已有公开利用代码（Ashwesker/Ashwesker-CVE-2026-21877）。 🤖 **自动化**：ProjectDiscovery Nuclei 模板已更新，可自动扫描。
Q7怎么自查？（特征/扫描）
🔎 **自查**： 1. 检查 n8n 版本是否 **< 1.121.3**（参考 Nuclei 描述）或 **<= 0.121.2**（参考 CVE 描述）。 2. 使用 Nuclei 模板 `http/cves/2026/CVE-2026-21877.yaml` 进行扫描。 3. 监控 Git 节点异常文件写入行为。
Q8官方修了吗？（补丁/缓解）
🛡️ **补丁**：官方已修复。 📝 **参考**：GitHub Security Advisory (GHSA-v364-rw7m-3263) 及 Commit `f4b009d`。 ⚠️ **注意**：Nuclei 模板提示受影响版本为 `>= 0.123.0 and < 1.121.3`，建议升级至 **1.121.3 或更高** 版本以确保安全。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级**：立即升级到修复版本。 2. **隔离**：如果无法升级，限制 Git 节点的使用权限。 3. **最小权限**：确保 n8n 服务账户权限最小化，防止文件写入溢出。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。 📊 **CVSS**：9.8 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)。 💡 **建议**：鉴于 PoC 已公开且无需复杂配置，建议**立即修复**，尤其是自托管实例。