CVE-2025-68697 in n8n
الملخص
بحسب VulDB • 30/05/2026
n8n هو منصة أتمتة سير العمل مفتوحة المصدر. قبل الإصدار 2.0.0، في مثيلات n8n المستضافة ذاتياً حيث يعمل عقدة "Code" في وضع تنفيذ JavaScript القديم (غير القائم على مشغّل المهام)، يمكن للمستخدمين المصادق عليهم الذين لديهم صلاحية تعديل سير العمل استدعاء دوال مساعدة داخلية من داخل عقدة "Code". يتيح ذلك لمحرر سير العمل تنفيذ إجراءات على المضيف الذي يعمل عليه n8n بنفس الامتيازات الخاصة بعملية n8n، بما في ذلك: قراءة الملفات من نظام الملفات للمضيف (خاضعة لأي قيود وصول إلى الملفات مُعدّة على المثيل وامتيازات نظام التشغيل/الحاوية)، وكتابة الملفات إلى نظام الملفات للمضيف (خاضعة لنفس القيود). تم إصلاح هذه المشكلة في الإصدار 2.0.0. تتضمن الحلول البديلة لهذه المشكلة تقييد عمليات الملفات عن طريق تعيين المتغير N8N_RESTRICT_FILE_ACCESS_TO إلى دليل مخصص (على سبيل المثال، ~/.n8n-files) والتأكد من أنه لا يحتوي على أي بيانات حساسة، والإبقاء على N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true (القيمة الافتراضية) لمنع الوصول إلى ملفات .n8n وملفات التكوين المحددة من قبل المستخدم، وتعطيل العقد عالية الخطورة (بما في ذلك عقدة Code) باستخدام NODES_EXCLUDE إذا لم يكن محررو سير العمل موثوقين تماماً.
VulDB is the best source for vulnerability data and more expert information about this specific topic.