intelligent-ears/cve-2025-68613Template di rilevamento basato su Nuclei per CVE-2025-68613, una RCE critica in n8n, un'automazione del flusso di lavoro. Utilizza fingerprinting passivo multilivello per identificare istanze vulnerabili tramite tag Sentry, API REST e analisi dei meta HTML.
n8n è una piattaforma di automazione dei flussi di lavoro open source. Le versioni a partire dalla 0.211.0 e precedenti alla 1.120.4, 1.121.1 e 1.122.0 contengono una vulnerabilità critica di Remote Code Execution (RCE) nel sistema di valutazione delle espressioni del flusso di lavoro. In determinate condizioni, le espressioni fornite da utenti autenticati durante la configurazione del flusso di lavoro possono essere valutate in un contesto di esecuzione non sufficientemente isolato dal runtime sottostante. Un attaccante autenticato potrebbe abusare di questo comportamento per eseguire codice arbitrario con i privilegi del processo n8n. Uno sfruttamento riuscito può portare alla compromissione totale dell'istanza interessata, inclusi accesso non autorizzato a dati sensibili, modifica dei flussi di lavoro ed esecuzione di operazioni a livello di sistema. Il problema è stato risolto nelle versioni 1.120.4, 1.121.1 e 1.122.0. Si consiglia vivamente agli utenti di aggiornare a una versione corretta, che introduce ulteriori salvaguardie per limitare la valutazione delle espressioni. Se l'aggiornamento non è immediatamente possibile, gli amministratori dovrebbero considerare le seguenti mitigazioni temporanee: limitare le autorizzazioni di creazione e modifica dei flussi di lavoro ai soli utenti di cui ci si fida completamente; e/o distribuire n8n in un ambiente rafforzato con privilegi del sistema operativo e accesso di rete limitati per ridurre l'impatto di un potenziale sfruttamento. Queste soluzioni alternative non eliminano completamente il rischio e dovrebbero essere utilizzate solo come misure a breve termine.
I template di rilevamento utilizzano un approccio a più livelli per identificare le istanze n8n vulnerabili senza richiedere autenticazione. Innanzitutto, i template sondano gli endpoint comuni di n8n (/rest/settings, /signin, /) per identificare l'applicazione. Quindi, estraggono le informazioni sulla versione utilizzando tre metodi complementari:
(1) Base64 Sentry Tag Extraction - decodificando il tag <meta name="n8n:config:sentry"> trovato nella pagina /signin, che contiene JSON con la versione di rilascio;
(2) REST API Parsing - interrogando l'endpoint /rest/settings che restituisce metadati di versione in formato JSON; e
(3) HTML Meta Tag Analysis - estraendo stringhe di versione da tag meta HTML standard e variabili JavaScript. Ogni versione estratta viene quindi validata rispetto all'intervallo vulnerabile (0.211.0 - 1.120.3 o 1.121.0) utilizzando la funzione DSL compare_versions() di Nuclei per un confronto accurato del versionamento semantico. Questa strategia multi-metodo garantisce un tasso di rilevamento del 100% anche quando i singoli endpoint sono disabilitati o configurati diversamente tra le distribuzioni n8n, ottenendo una copertura 6 volte migliore rispetto agli approcci a metodo singolo. I template sono completamente passivi (nessuno sfruttamento avviene durante il rilevamento), rendendoli sicuri per la scansione in ambienti di produzione.
nuclei -t CVE-2025-68613.yaml -u <target ip>
Oppure se desideri scansionare un elenco di host, esegui:
nuclei -t CVE-2025-68613.yaml -l <list.txt>
Usa a tuo rischio e pericolo, non sarò responsabile per attività illegali che conduci su infrastrutture che non possiedi o per le quali non hai il permesso di scansionare.
Questo progetto è concesso in licenza MIT.
Se desideri contattarmi, sono principalmente attivo su Twitter/X e LinkedIn.