CVE-2025-68613n8n 是一款开源工作流自动化平台。从 0.211.0 版本到 1.120.4、1.121.1 以及 1.122.0 之前的版本，其工作流表达式求值系统中存在一个严重远程代码执行（RCE）漏洞。在特定条件下，已认证用户在工作流配置期间提供的表达式可能在未与底层运行时充分隔离的执行上下文中被求值。攻击者可利用此行为，以 n8n 进程的权限执行任意代码。成功利用可能导致受影响的实例完全受损，包括未经授权访问敏感数据、修改工作流以及执行系统级操作。此问题已在 1.120.4、1.121.1 和 1.122.0 版本中修复。强烈建议用户升级到已修补版本，该版本引入了额外的安全限制以限制表达式求值。如果无法立即升级，管理员应考虑以下临时缓解措施：仅将工作流的创建和编辑权限授予完全受信任的用户；并且/或者将 n8n 部署在具有受限操作系统权限和网络访问的强化环境中，以降低潜在利用的影响。这些缓解措施并不能完全消除风险，应仅作为短期措施使用。
此检测方法的工作原理是什么？通过 base64 解码 /signin 页面上的 n8n:config:sentry 元标签，从 JSON release 字段中提取版本号，并与已知受 CVE-2025-68613 RCE 影响的版本范围进行匹配，从而检测存在漏洞的 n8n 实例（>= 0.211.0 < 1.120.4 或 1.121.0）。
如何运行此脚本？
nuclei -u <ip|fqdn> -t template.yaml
如果要扫描主机列表，请执行：
nuclei -l <list.txt> -t template.yaml
参考资料
免责声明使用风险自负，我不会对你在未经授权或未获许可的基础设施上进行的非法活动负责。
许可证本项目采用 MIT 许可证。
联系方式如果你对此漏洞检测脚本有任何疑问，请通过 Signal 联系我。