CVE-2025-68613

Riepilogo

n8n è una piattaforma open source di automazione dei flussi di lavoro. Le versioni a partire dalla 0.211.0 e precedenti alla 1.120.4, 1.121.1 e 1.122.0 contengono una vulnerabilità critica di Remote Code Execution (RCE) nel loro sistema di valutazione delle espressioni dei flussi di lavoro. In determinate condizioni, le espressioni fornite dagli utenti autenticati durante la configurazione dei flussi di lavoro possono essere valutate in un contesto di esecuzione non sufficientemente isolato dal runtime sottostante. Un attaccante autenticato potrebbe abusare di questo comportamento per eseguire codice arbitrario con i privilegi del processo n8n. Lo sfruttamento riuscito della vulnerabilità può portare alla compromissione totale dell'istanza interessata, incluso l'accesso non autorizzato a dati sensibili, la modifica dei flussi di lavoro e l'esecuzione di operazioni a livello di sistema. Questo problema è stato corretto nelle versioni 1.120.4, 1.121.1 e 1.122.0. Si consiglia vivamente agli utenti di aggiornare a una versione corretta, che introduce ulteriori protezioni per limitare la valutazione delle espressioni. Se l'aggiornamento non è immediatamente possibile, gli amministratori dovrebbero prendere in considerazione le seguenti mitigazioni temporanee: Limitare le autorizzazioni di creazione e modifica dei flussi di lavoro ai soli utenti di totale fiducia; e/o distribuire n8n in un ambiente hardening con privilegi del sistema operativo e accesso di rete limitati per ridurre l'impatto di un potenziale sfruttamento. Queste soluzioni alternative non eliminano completamente il rischio e dovrebbero essere utilizzate solo come misure a breve termine.

Fonti