CVE-2025-68613

n8n Nghiêm trọng về RCE thông qua việc tiêm biểu thức

n8n là một nền tảng tự động hóa quy trình làm việc mã nguồn mở. Các phiên bản từ 0.211.0 và trước 1.120.4, 1.121.1 và 1.122.0 chứa một lỗ hổng nghiêm trọng về thực thi mã từ xa (RCE) trong hệ thống đánh giá biểu thức quy trình làm việc. Dưới một số điều kiện, các biểu thức được cung cấp bởi người dùng đã đăng nhập trong quá trình cấu hình quy trình làm việc có thể được đánh giá trong một ngữ cảnh thực thi không đủ cách ly khỏi nền tảng chạy dưới cùng. Một người tấn công đã đăng nhập có thể khai thác hành vi này để thực thi mã tùy ý với quyền của quá trình n8n. Việc khai thác thành công có thể dẫn đến việc chiếm toàn bộ hệ thống bị ảnh hưởng, bao gồm truy cập không được phép vào dữ liệu nhạy cảm, thay đổi quy trình làm việc và thực thi các tác vụ cấp hệ thống. Lỗi này đã được sửa chữa trong các phiên bản 1.120.4, 1.121.1 và 1.122.0. Người dùng được khuyến nghị nên nâng cấp lên phiên bản đã sửa lỗi, trong đó giới thiệu các biện pháp bảo vệ bổ sung để hạn chế đánh giá biểu thức. Nếu nâng cấp không thể thực hiện ngay, quản trị viên nên xem xét các biện pháp khắc phục tạm thời sau: Giới hạn quyền tạo và chỉnh sửa quy trình chỉ cho những người dùng hoàn toàn tin cậy; và/hoặc triển khai n8n trong một môi trường đã cứng hóa với quyền hạn hạn chế của hệ điều hành và truy cập mạng để giảm tác động của việc khai thác tiềm năng. Những biện pháp khắc phục này không loại bỏ hoàn toàn rủi ro và chỉ nên được sử dụng như các biện pháp ngắn hạn.

Bạn tra cứu quá nhanh — thử lại sau 48 giây.

CVSS (NVD)

9.9 · CRITICAL

Loại lỗi (CWE)

CWE-913