CVE-2025-68613 — Échec de l'isolation du moteur d'expression de l'automatisation de workflows n8n

L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par cette recherche
Fourni strictement à des fins éducatives et défensives

Description

Ce dépôt contient une analyse de qualité laboratoire et une preuve de concept sûre pour la vulnérabilité CVE-2025-68613, affectant la plateforme d'automatisation de workflows n8n.

Les versions à partir de 0.211.0 et antérieures à 1.120.4, ainsi que 1.121.0–1.121.1, contiennent une faille critique dans le système d'évaluation des expressions.
Dans des conditions spécifiques, les expressions fournies par des utilisateurs authentifiés peuvent être évaluées dans un contexte d'exécution qui manque d'isolation adéquate, permettant théoriquement l'exécution de code à distance (RCE).

Ce dépôt ne fournit pas d'exploitation
Il fournit :

• Empreinte de version
• Détection de vulnérabilité
• Une PoC sûre d'exposition de métadonnées
• Un flux de travail de scan structuré et professionnel

Ce qu'est la vulnérabilité

CVE-2025-68613 provient d'un sandboxing inadéquat dans le moteur d'expression utilisé lors de l'exécution des workflows.
Un utilisateur authentifié malveillant peut contourner l'isolation des expressions et accéder aux objets d'exécution sous-jacents, permettant potentiellement des actions au niveau système.

L'impact inclut :

• Manipulation de workflows
• Exposition des identifiants
• Échappement du contexte Node.js
• Prise de contrôle potentielle du système

Les instances n8n mal configurées ou exposées publiquement augmentent considérablement le risque.

Ce que cette PoC démontre

Cette PoC est sûre et non destructive. Elle valide :

✔ Extraction de la version du backend n8n

À partir de GET /signin, en utilisant des métadonnées encodées en Base64.

✔ Évaluation de la plage de vulnérabilité

Compare la version avec les plages vulnérables connues.

✔ Validation de l'exposition des métadonnées

Appelle /rest/settings, qui dans les déploiements vulnérables retourne :

• ID d'instance
• Canal de publication
• Points de terminaison de télémétrie
• Méthode d'authentification
• Configuration SSO
• Indicateurs MFA
• Version CLI

L'exposition de ces valeurs internes indique une isolation affaiblie, une condition clé pour la vulnérabilité.

Cette PoC n'effectue pas de RCE.

Résumé du vecteur d'attaque

1. Les éditeurs de workflows authentifiés peuvent insérer des expressions.
2. Les versions vulnérables évaluent les expressions dans des contextes non sécurisés.
3. L'isolation du backend échoue.
4. Les attaquants peuvent escalader l'évaluation d'expression en évaluation d'exécution.
5. Une mauvaise configuration peut amplifier l'impact.

Structure du laboratoire

CVE-2025-68613/
│
├── cve-2025-68613.py
└── README.md

Exécution du scanner

python3 cve-2025-68613.py -u https://127.0.0.1 -p 443 --insecure

Exemple :

n8n CVE-2025-68613 Vulnerability Scanner
----------------------------------------

[•] Target: https://127.0.0.1:443
[•] Performing version fingerprinting...
[✓] Detected n8n version: 1.120.0
[!] Vulnerable to CVE-2025-68613

Si l'instance est sûre :

[✓] Target is NOT vulnerable. No further action required.

Exécution de la PoC sûre

Si le scanner détecte une version vulnérable, la PoC procède automatiquement :

python cve-2025-68613.py -u 127.0.0.1 -p 443 --poc -v -k

Exemple :

python cve-2025-68613.py -u 127.0.0.1 -p 443 --poc -v -k
n8n CVE-2025-68613 Vulnerability Scanner
------------------------------------------

[•] Target: https://127.0.0.1:443

[•] Performing version fingerprinting...
[DEBUG] Fetching: https://127.0.0.1:443/signin
[✓] Detected n8n version: 1.120.0
[!] Vulnerable to CVE-2025-68613

[•] Running SAFE PoC to validate exposure...

[DEBUG] Querying settings: https://127.0.0.1:443/rest/settings
[✓] SAFE POC CONFIRMED
The instance exposes internal configuration without authentication.
This correlates with weakened backend isolation seen in vulnerable builds.

--- Metadata Fragment (Pretty Printed) ---
{
  "data": {
    "authCookie": {
      "secure": true
    },
    "banners": {
      "dismissed": [
        "V1"
      ]
    },
    "defaultLocale": "en",
    "enterprise": {
      "ldap": false,
      "oidc": false,
      "saml": false,
      "showNonProdBanner": false
    },
    "instanceId": "ab12eeb1234d5a12ee12c123caa86aca12345fc1234567fbc3e29b6e12f123cd",
    "mfa": {
      "enabled": true,
      "enforced": false
    },
    "oauthCallbackUrls": {
      "oauth1": "http://0.0.0.0:5678/rest/oauth1-credential/callback",
      "oauth2": "http://0.0.0.0:5678/rest/oauth2-credential/callback"
    },
    "previewMode": false,
    "releaseChannel": "dev",
    "settingsMode": "public",
    "sso": {
      "ldap": {
        "loginEnabled": false,
        "loginLabel": ""
      },
      "oidc": {
        "callbackUrl": "http://0.0.0.0:5678/rest/sso/oidc/callback",
        "loginEnabled": false,
        "loginUrl": "http://0.0.0.0:5678/rest/sso/oidc/login"
      },
      "saml": {
        "loginEnabled": false,
        "loginLabel": ""
      }
    },
    "telemetry": {
      "config": {
        "key": "1zAn2bcDEz3Fc4p5Gh6uiJ7KLMn",
        "proxy": "http://0.0.0.0:5678/rest/telemetry/proxy",
        "sourceConfig": "http://0.0.0.0:5678/rest/telemetry/rudderstack",
        "url": "https://telemetry.n8n.io"
      },
      "enabled": true
    },
    "userManagement": {
      "authenticationMethod": "email",
      "quota": -1,
      "showSetupOnFirstLoad": false,
      "smtpSetup": false
    },
    "versionCli": "1.120.0",
    "versionNotifications": {
      "enabled": true,
      "endpoint": "https://api.n8n.io/api/versions/",
      "infoUrl": "https://docs.n8n.io/hosting/installation/updating/",
      "whatsNewEnabled": true,
      "whatsNewEndpoint": "https://api.n8n.io/api/whats-new"
    }
  }
}

Remédiation

Atténuations :

• Restreindre la création de workflows aux utilisateurs de confiance
• Désactiver le mode de paramètres publics
• Éviter d'exposer n8n directement sur Internet
• Utiliser des comptes OS non privilégiés
• Activer MFA et imposer le SSO

Script PoC inclus

cve-2025-68613.py fournit :

• Phase de scan
• Extraction de version
• Classification de vulnérabilité
• PoC d'exposition sûre de métadonnées
• Option de contournement TLS (--insecure)
• Mode de débogage verbeux

Exemple :

python3 cve-2025-68613.py -u https://n8n.lab -p 5678 --poc --insecure

Auteur et contact

• Chercheur : krakhen.dev
• GitHub : @nehkark
• Email : [email protected]
• Site web : https://vciso.cloud
• ICQ : 24298753