n8n CVE-2025-68613

Resumen

Este repositorio contiene un proyecto de investigación de seguridad con fines educativos centrado en CVE-2025-68613, una vulnerabilidad que afecta a versiones específicas de n8n relacionada con la evaluación insegura de expresiones de flujos de trabajo.

El proyecto fue probado solo en un entorno de laboratorio local controlado.

Sobre CVE-2025-68613

CVE-2025-68613 es una vulnerabilidad de Ejecución Remota de Código (RCE) autenticada causada por la evaluación insegura de expresiones de flujos de trabajo en versiones afectadas de n8n.

Bajo ciertas condiciones, los usuarios autenticados pueden abusar del sistema de evaluación de expresiones de flujos de trabajo para ejecutar código arbitrario.

Versiones Afectadas

• Versiones ≥ 0.211.0
• Corregido en:
  • 1.120.4
  • 1.121.1
  • 1.122.0

Contenido del Repositorio

.
├── scanner.py   # Safe version-based vulnerability checker
├── exploit.py   # Exploit of the workflow expression evaluation system

Distinción Importante

• scanner.py
  Realiza solo verificación de versiones no intrusiva (seguro para auditorías e inventarios).

• exploit.py
  Demuestra cómo se puede abusar del sistema de evaluación de expresiones de flujos de trabajo en versiones vulnerables.
  ⚠️ Este archivo es un exploit, no solo un PoC, y está destinado solo para laboratorios locales.

Configuración del Laboratorio Local (Docker)

El entorno vulnerable se creó utilizando la imagen oficial de Docker de n8n.

Iniciar Instancia Vulnerable de n8n

docker run -it --rm \
  --name n8n-vulnerable \
  -p 5678:5678 \
  n8nio/n8n:1.121.0

• La interfaz de n8n estará disponible en:
  http://localhost:5678
• La versión 1.121.0 es intencionalmente vulnerable para fines de prueba.
• Dado que es un RCE autenticado, debes crear una cuenta en http://localhost:5678/setup y proporcionar tus credenciales en los argumentos del exploit al ejecutar el script.

Captura de Pantalla de Demostración

La siguiente imagen muestra un nodo Set evaluando una expresión de flujo de trabajo y devolviendo la salida del comando dentro del resultado de la ejecución del flujo de trabajo.
Este comportamiento ocurre debido a la evaluación insegura de expresiones en versiones vulnerables.

Uso del Escáner (Seguro)

python scanner.py http://localhost:5678

Ejemplo de Salida

n8n Version Info: 1.121.0
The target n8n instance is VULNERABLE to CVE-2025-68613.

Script del Exploit

El script del exploit:

• Se autentica en n8n
• Despliega un flujo de trabajo manipulado
• Activa la ejecución del flujo de trabajo
• Demuestra el abuso del sistema de evaluación de expresiones
• Limpia el flujo de trabajo después

⚠️ Este script solo debe usarse en sistemas que poseas o para los que tengas permiso explícito de prueba. Ejemplo:

python exploit.py -u http://localhost:5678 -e <youremail> -p <yourpassword>
---

## Descargo de Responsabilidad

Este repositorio se proporciona **estrictamente con fines educativos, de investigación y de seguridad defensiva**.

Todas las pruebas se realizaron en un **entorno de laboratorio local basado en Docker**.
El uso no autorizado de este código contra sistemas sin permiso es ilegal y puede violar las leyes aplicables.

El autor no asume **ninguna responsabilidad** por el mal uso, daños o consecuencias legales derivadas del uso de este código.

## Autor
Investigación de seguridad realizada como parte de un proyecto personal de aprendizaje y portafolio.