CVE-2025-68613 — Fehlerhafte Isolierung der Ausdrucksengine in n8n Workflow Automation

Der Autor übernimmt keine Haftung für Missbrauch oder Schäden, die durch diese Forschung verursacht werden
Ausschließlich für Bildungs- und Abwehrzwecke bereitgestellt

Beschreibung

Dieses Repository enthält eine laborreife Analyse und einen sicheren Proof-of-Concept für die Schwachstelle CVE-2025-68613, die die Workflow-Automatisierungsplattform n8n betrifft.

Versionen ab 0.211.0 und vor 1.120.4 sowie 1.121.0–1.121.1 enthalten einen kritischen Fehler im Ausdrucksauswertungssystem.
Unter bestimmten Bedingungen können von authentifizierten Benutzern bereitgestellte Ausdrücke in einem Laufzeitkontext ausgewertet werden, dem eine ordnungsgemäße Isolierung fehlt, was theoretisch Remotecodeausführung (RCE) ermöglicht.

Dieses Repository stellt keine Ausnutzung bereit.
Es bietet:

• Versions-Fingerprinting
• Schwachstellenerkennung
• Einen sicheren PoC zur Offenlegung von Metadaten
• Einen strukturierten, professionellen Scan-Workflow

Was die Schwachstelle ist

CVE-2025-68613 hat seinen Ursprung in unzureichendem Sandboxing innerhalb der Ausdrucksengine, die während der Workflow-Ausführung verwendet wird.
Ein böswilliger authentifizierter Benutzer kann die Ausdrucksisolierung umgehen und zugrunde liegende Laufzeitobjekte erreichen, was möglicherweise systemweite Aktionen ermöglicht.

Die Auswirkungen umfassen:

• Workflow-Manipulation
• Offenlegung von Anmeldedaten
• Node.js-Kontextausbruch
• Potenzielle Systemübernahme

Fehlkonfigurierte oder öffentlich zugängliche n8n-Instanzen erhöhen das Risiko drastisch.

Was dieser PoC demonstriert

Dieser PoC ist sicher und nicht destruktiv. Er validiert:

✔ Extraktion der n8n-Backend-Version

Von GET /signin unter Verwendung Base64-kodierter Metadaten.

✔ Bewertung des Schwachstellenbereichs

Stimmt die Version mit bekannten anfälligen Bereichen ab.

✔ Validierung der Metadaten-Offenlegung

Ruft /rest/settings auf, was in anfälligen Bereitstellungen Folgendes zurückgibt:

• Instanz-ID
• Release-Kanal
• Telemetrie-Endpunkte
• Authentifizierungsmethode
• SSO-Konfiguration
• MFA-Flags
• CLI-Version

Die Offenlegung solcher internen Werte deutet auf eine geschwächte Isolierung hin, eine Schlüsselvoraussetzung für die Schwachstelle.

Dieser PoC führt keine RCE durch.

Zusammenfassung des Angriffsvektors

1. Authentifizierte Workflow-Editoren können Ausdrücke einfügen.
2. Anfällige Versionen werten Ausdrücke in unsicheren Kontexten aus.
3. Die Backend-Isolierung schlägt fehl.
4. Angreifer können die Ausdrucksauswertung zu einer Laufzeitauswertung eskalieren.
5. Fehlkonfiguration kann die Auswirkungen verstärken.

Laborstruktur

CVE-2025-68613/
│
├── cve-2025-68613.py
└── README.md

Ausführen des Scanners

python3 cve-2025-68613.py -u https://127.0.0.1 -p 443 --insecure

Beispiel:

n8n CVE-2025-68613 Vulnerability Scanner
----------------------------------------

[•] Target: https://127.0.0.1:443
[•] Performing version fingerprinting...
[✓] Detected n8n version: 1.120.0
[!] Vulnerable to CVE-2025-68613

Falls die Instanz sicher ist:

[✓] Target is NOT vulnerable. No further action required.

Ausführen des sicheren PoC

Wenn der Scanner eine anfällige Version erkennt, führt der PoC automatisch fort:

python cve-2025-68613.py -u 127.0.0.1 -p 443 --poc -v -k

Beispiel:

python cve-2025-68613.py -u 127.0.0.1 -p 443 --poc -v -k
n8n CVE-2025-68613 Vulnerability Scanner
------------------------------------------

[•] Target: https://127.0.0.1:443

[•] Performing version fingerprinting...
[DEBUG] Fetching: https://127.0.0.1:443/signin
[✓] Detected n8n version: 1.120.0
[!] Vulnerable to CVE-2025-68613

[•] Running SAFE PoC to validate exposure...

[DEBUG] Querying settings: https://127.0.0.1:443/rest/settings
[✓] SAFE POC CONFIRMED
The instance exposes internal configuration without authentication.
This correlates with weakened backend isolation seen in vulnerable builds.

--- Metadata Fragment (Pretty Printed) ---
{
  "data": {
    "authCookie": {
      "secure": true
    },
    "banners": {
      "dismissed": [
        "V1"
      ]
    },
    "defaultLocale": "en",
    "enterprise": {
      "ldap": false,
      "oidc": false,
      "saml": false,
      "showNonProdBanner": false
    },
    "instanceId": "ab12eeb1234d5a12ee12c123caa86aca12345fc1234567fbc3e29b6e12f123cd",
    "mfa": {
      "enabled": true,
      "enforced": false
    },
    "oauthCallbackUrls": {
      "oauth1": "http://0.0.0.0:5678/rest/oauth1-credential/callback",
      "oauth2": "http://0.0.0.0:5678/rest/oauth2-credential/callback"
    },
    "previewMode": false,
    "releaseChannel": "dev",
    "settingsMode": "public",
    "sso": {
      "ldap": {
        "loginEnabled": false,
        "loginLabel": ""
      },
      "oidc": {
        "callbackUrl": "http://0.0.0.0:5678/rest/sso/oidc/callback",
        "loginEnabled": false,
        "loginUrl": "http://0.0.0.0:5678/rest/sso/oidc/login"
      },
      "saml": {
        "loginEnabled": false,
        "loginLabel": ""
      }
    },
    "telemetry": {
      "config": {
        "key": "1zAn2bcDEz3Fc4p5Gh6uiJ7KLMn",
        "proxy": "http://0.0.0.0:5678/rest/telemetry/proxy",
        "sourceConfig": "http://0.0.0.0:5678/rest/telemetry/rudderstack",
        "url": "https://telemetry.n8n.io"
      },
      "enabled": true
    },
    "userManagement": {
      "authenticationMethod": "email",
      "quota": -1,
      "showSetupOnFirstLoad": false,
      "smtpSetup": false
    },
    "versionCli": "1.120.0",
    "versionNotifications": {
      "enabled": true,
      "endpoint": "https://api.n8n.io/api/versions/",
      "infoUrl": "https://docs.n8n.io/hosting/installation/updating/",
      "whatsNewEnabled": true,
      "whatsNewEndpoint": "https://api.n8n.io/api/whats-new"
    }
  }
}

Behebung

Abhilfemaßnahmen:

• Beschränken Sie die Workflow-Erstellung auf vertrauenswürdige Benutzer
• Deaktivieren Sie den öffentlichen Einstellungsmodus
• Vermeiden Sie die direkte Exposition von n8n im Internet
• Verwenden Sie nicht privilegierte Betriebssystemkonten
• Aktivieren Sie MFA und erzwingen Sie SSO

Enthaltenes PoC-Skript

cve-2025-68613.py bietet:

• Scanner-Phase
• Versionsextraktion
• Schwachstellenklassifizierung
• Sicheren PoC zur Metadaten-Offenlegung
• TLS-Umgehungsoption (--insecure)
• Ausführlichen Debug-Modus

Beispiel:

python3 cve-2025-68613.py -u https://n8n.lab -p 5678 --poc --insecure

Autor & Kontakt

• Forscher : krakhen.dev
• GitHub : @nehkark
• Email : [email protected]
• Website : https://vciso.cloud
• ICQ : 24298753