关于 n8n 远程代码执行漏洞（CVE-2026-21858）的预警通报
2026年01月13日
浏览量：
10
次 来源：
网络与教育技术中心
作者：
邱明杰
发布：
网络与教育技术中心
近日，工作发现最新漏洞威胁：n8n 远程代码执行漏洞CVE-2026-21858
n8n 工作流自动化平台存在远程代码执行漏洞，源于处理 HTTP 请求时的“Content-Type 混淆”逻辑错误，表单 Webhook 节点的prepareFormReturnItem函数未验证请求类型便盲目信任req.body.files内容，使得未经身份验证的攻击者可通过构造特定 JSON 请求实现任意文件读取，进而窃取数据库和配置文件中的凭据与加密密钥、伪造管理员会话 Cookie 登录系统，最终通过创建含“执行命令”节点的工作流执行任意命令控制服务器。
目前受影响的n8n版本：
n8n < 1.121.0
官方已发布最新版本修复该漏洞，建议受影响用户将n8n更新到最新版本。
下载链接：https://github.com/n8n-io/n8n/releases
请各单位增强网络安全防护意识，立即排查产品使用情况，并督促指导受影响单位及时升级漏洞补丁，消除风险隐患。同时，加强网络安全监测,如发现遭攻击情况及时处置并报告