🔴 【深度分析】严重安全漏洞：CVE-2026-44791

CVSS 评分: 严重（9.4）🔴　　状态: Analyzed　　发布时间: 2026-06-23

🔍 技术细节速览

字段 值
CVE ID CVE-2026-44791
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X
CWE 分类 CWE-1321
发布时间 2026-06-23
状态 Analyzed

好的，作为一名资深网络安全分析师，我将基于您提供的 NVD 漏洞数据，对 CVE-2026-44791 进行深度分析。

漏洞概述

CVE-2026-44791 是一个存在于开源工作流自动化平台 n8n 中的严重安全漏洞。该漏洞允许已通过身份验证且具备创建或修改工作流权限的用户，绕过此前针对 CVE-2026-42232 漏洞的补丁。攻击者可以利用 XML 节点与其他节点组合，最终在 n8n 主机上实现远程代码执行（RCE）。该漏洞的 CVSS 4.0 评分为 9.4（严重），表明其具有极高的威胁性。

受影响组件与版本

  • 受影响组件： n8n 工作流自动化平台中的 XML 节点。
  • 受影响版本：
    • 1.x 系列：所有早于 1.123.43 的版本。
    • 2.x 系列：所有早于 2.22.1 的版本。
    • 2.x 系列：所有早于 2.20.7 的版本。
  • 安全版本：
    • 1.123.43
    • 2.22.1
    • 2.20.7

漏洞原理分析

该漏洞本质上是对先前漏洞（CVE-2026-42232）补丁的绕过。根据 CWE-1321 分类，此漏洞与“不正确地控制 Web 安全相关对象的原型修改”有关，但结合 n8n 的上下文，更具体地指向了 XML 外部实体（XXE）注入或 XML 处理中的其他安全缺陷。

  1. 背景： 之前的 CVE-2026-42232 漏洞很可能涉及 n8n XML 节点在处理用户提供的 XML 数据时，未能充分防范恶意构造的 XML 内容（如 XXE 攻击），导致攻击者可以读取服务器文件、执行 SSRF 攻击或导致拒绝服务。
  2. 绕过机制： 官方发布的补丁旨在修复 CVE-2026-42232 中的特定攻击向量。然而，CVE-2026-44791 表明，攻击者找到了一种方法绕过了这个补丁。这可能是因为：
    • 补丁仅封堵了已知的特定攻击模式，但未从根本上禁用所有危险的 XML 处理特性（如外部实体解析）。
    • 补丁引入了新的逻辑缺陷，攻击者可以通过不同的 XML 结构、编码方式或利用 XML 节点与其他 n8n 节点的交互来绕过限制。
  3. 攻击链： 攻击者首先需要拥有一个有效的 n8n 账户，并具备创建或修改工作流的权限。然后，他们可以创建一个包含恶意 XML 节点的工作流。该节点被配置为处理攻击者控制的 XML 输入。通过绕过补丁，攻击者可以触发 XXE 或其他 XML 处理漏洞。随后，利用 n8n 工作流中其他节点的功能（例如，执行系统命令的节点、文件写入节点等），将 XML 处理阶段的初步影响（如文件读取）升级为在 n8n 主机上的完全远程代码执行。

注意： 由于缺乏公开的详细技术分析，上述原理是基于 CVE 描述、CWE 分类和 n8n 平台特性的合理推断。具体的绕过技术细节（如特定的 XML 结构或节点组合）需要查阅 n8n 官方的安全公告或补丁代码才能完全确定。

影响评估

  • 攻击向量： 网络攻击（AV:N），攻击者无需物理接触目标系统。
  • 攻击复杂度： 低（AC:L），利用该漏洞不需要特殊条件或复杂的环境配置。
  • 所需权限： 低（PR:L），攻击者需要一个有效的 n8n 用户账户，并具备创建或修改工作流的权限。这通常意味着攻击者可能是一个内部威胁，或者通过其他方式（如弱口令、凭证泄露）获得了低权限账户。
  • 影响范围：
    • 机密性： 高（VC:H/SC:H）。攻击者可以读取 n8n 主机上的任意文件，包括配置文件、数据库凭证、用户数据等，甚至可能访问同一网络内的其他资源。
    • 完整性： 高（VI:H/SI:H）。攻击者可以修改主机上的文件、篡改 n8n 工作流、植入后门或恶意软件。
    • 可用性： 高（VA:H/SA:H）。攻击者可以执行任意命令，导致服务中断、系统崩溃或资源耗尽。
  • 总体影响： 该漏洞允许低权限用户完全控制 n8n 主机，实现从“用户权限”到“主机级 RCE”的权限提升。这可能导致数据泄露、服务中断、横向移动等严重后果，对整个组织的安全构成严重威胁。

修复建议

  1. 立即升级： 这是最根本、最有效的修复措施。请立即将 n8n 实例升级到以下安全版本之一：
    • 1.123.43 或更高版本
    • 2.22.1 或更高版本
    • 2.20.7 或更高版本
  2. 临时缓解措施（在无法立即升级时）：
    • 审查用户权限： 严格限制能够创建或修改工作流的用户数量。对拥有这些权限的用户进行仔细审查，确保其必要性。
    • 禁用 XML 节点： 如果业务上不需要使用 XML 节点，可以考虑在 n8n 配置中禁用该节点或限制其使用范围。
    • 加强监控： 对 n8n 工作流的创建、修改和执行活动进行密切监控，特别关注那些涉及 XML 节点或执行系统命令的工作流。设置告警，以便在发现可疑活动时及时响应。
    • 网络隔离： 将 n8n 实例部署在隔离的网络环境中，限制其对外部网络的访问，以降低 RCE 后的横向移动风险。
  3. 安全配置： 遵循最小权限原则，确保 n8n 服务运行在具有最低必要权限的系统账户下。

参考资料