intelligent-ears/cve-2025-68613Modèle de détection basé sur Nuclei pour CVE-2025-68613, une RCE critique dans l'automatisation des workflows n8n. Utilise une empreinte passive multicouche pour identifier les instances vulnérables via les balises Sentry, l'API REST et l'analyse de meta HTML.
n8n est une plateforme d'automatisation de workflows open source. Les versions allant de 0.211.0 jusqu'à 1.120.4, 1.121.1 et 1.122.0 contiennent une vulnérabilité critique d'exécution de code à distance (RCE) dans leur système d'évaluation des expressions de workflow. Sous certaines conditions, les expressions fournies par des utilisateurs authentifiés lors de la configuration du workflow peuvent être évaluées dans un contexte d'exécution insuffisamment isolé du runtime sous-jacent. Un attaquant authentifié peut abuser de ce comportement pour exécuter du code arbitraire avec les privilèges du processus n8n. Une exploitation réussie peut conduire à une compromission totale de l'instance affectée, y compris un accès non autorisé à des données sensibles, la modification des workflows et l'exécution d'opérations au niveau du système. Ce problème a été corrigé dans les versions 1.120.4, 1.121.1 et 1.122.0. Il est fortement conseillé aux utilisateurs de passer à une version corrigée, qui introduit des garanties supplémentaires pour restreindre l'évaluation des expressions. Si la mise à jour n'est pas immédiatement possible, les administrateurs doivent envisager les atténuations temporaires suivantes : limiter les permissions de création et d'édition de workflows aux seuls utilisateurs de confiance ; et/ou déployer n8n dans un environnement renforcé avec des privilèges système restreints et un accès réseau limité pour réduire l'impact d'une éventuelle exploitation. Ces solutions de contournement n'éliminent pas complètement le risque et ne doivent être utilisées que comme des mesures à court terme.
Les modèles de détection utilisent une approche multicouche pour identifier les instances n8n vulnérables sans nécessiter d'authentification. Tout d'abord, les modèles sondent les endpoints communs de n8n (/rest/settings, /signin, /) pour identifier l'application. Ensuite, ils extraient les informations de version à l'aide de trois méthodes complémentaires :
(1) Extraction du tag Sentry en Base64 - décodage du tag <meta name="n8n:config:sentry"> trouvé sur la page /signin, qui contient du JSON avec la version de la release ;
(2) Analyse de l'API REST - interrogation de l'endpoint /rest/settings qui renvoie les métadonnées de version au format JSON ; et
(3) Analyse des balises meta HTML - extraction des chaînes de version à partir des balises meta HTML standard et des variables JavaScript. Chaque version extraite est ensuite validée par rapport à la plage vulnérable (0.211.0 - 1.120.3 ou 1.121.0) en utilisant la fonction DSL compare_versions() de Nuclei pour une comparaison sémantique précise des versions. Cette stratégie multi-méthodes garantit un taux de détection de 100% même lorsque des endpoints individuels sont désactivés ou configurés différemment selon les déploiements de n8n, offrant une couverture 6 fois meilleure que les approches mono-méthode. Les modèles sont complètement passifs (aucune exploitation n'a lieu pendant la détection), ce qui les rend sûrs pour une analyse dans des environnements de production.
nuclei -t CVE-2025-68613.yaml -u <target ip>
Ou si vous souhaitez analyser une liste d'hôtes, exécutez :
nuclei -t CVE-2025-68613.yaml -l <list.txt>
Utilisez à vos propres risques. Je ne serai pas responsable des activités illégales que vous menez sur des infrastructures qui ne vous appartiennent pas ou pour lesquelles vous n'avez pas l'autorisation d'analyser.
Ce projet est sous licence MIT.
Si vous souhaitez me contacter, je suis principalement actif sur Twitter/X et LinkedIn.