Một lỗ hổng bảo mật nghiêm trọng mới đã được công bố trong n8n, một nền tảng tự động hóa quy trình làm việc mã nguồn mở, có thể cho phép kẻ tấn công đã được xác thực thực thi các lệnh hệ thống tùy ý trên máy chủ.
Lỗ hổng, được theo dõi là CVE-2025-68668, được đánh giá 9.9 trên hệ thống tính điểm CVSS. Nó được mô tả là một trường hợp lỗi cơ chế bảo vệ.
Nó ảnh hưởng đến các phiên bản n8n từ 1.0.0 đến, nhưng không bao gồm, 2.0.0, và cho phép người dùng được xác thực có quyền tạo hoặc sửa đổi các quy trình làm việc thực thi các lệnh hệ điều hành tùy ý trên máy chủ đang chạy n8n. Vấn đề này đã được khắc phục trong phiên bản 2.0.0.
"Một lỗ hổng sandbox bypass tồn tại trong Python Code Node sử dụng Pyodide," một khuyến cáo về lỗ hổng nêu rõ. "Một người dùng đã được xác thực có quyền tạo hoặc sửa đổi các quy trình làm việc có thể khai thác lỗ hổng này để thực thi các lệnh tùy ý trên hệ thống máy chủ đang chạy n8n, sử dụng cùng đặc quyền với tiến trình n8n."
N8n cho biết họ đã giới thiệu triển khai Python gốc dựa trên task runner trong phiên bản 1.111.0 như một tính năng tùy chọn để cải thiện khả năng cô lập bảo mật. Tính năng này có thể được kích hoạt bằng cách cấu hình các biến môi trường N8N_RUNNERS_ENABLED và N8N_NATIVE_PYTHON_RUNNER. Với việc phát hành phiên bản 2.0.0, việc triển khai này đã trở thành mặc định.
Để khắc phục, n8n khuyến nghị người dùng thực hiện các bước sau:
- Vô hiệu hóa Code Node bằng cách đặt biến môi trường NODES_EXCLUDE: "["n8n-nodes-base.code"]"
- Vô hiệu hóa hỗ trợ Python trong Code node bằng cách đặt biến môi trường N8N_PYTHON_ENABLED=false
- Cấu hình n8n sử dụng Python sandbox dựa trên task runner thông qua các biến môi trường N8N_RUNNERS_ENABLED và N8N_NATIVE_PYTHON_RUNNER
Việc công bố này diễn ra khi n8n đã khắc phục một lỗ hổng nghiêm trọng khác (CVE-2025-68613, điểm CVSS: 9.9) có thể dẫn đến việc thực thi mã tùy ý trong một số trường hợp nhất định.
