CVE-2025-68697 in n8n
Résumé
par VulDB • 30/05/2026
n8n est une plateforme d'automatisation des workflows open source. Avant la version 2.0.0, dans les instances n8n auto-hébergées où le nœud Code s'exécute en mode d'exécution JavaScript hérité (non-task-runner), les utilisateurs authentifiés disposant d'un accès à l'édition des workflows peuvent invoquer des fonctions utilitaires internes depuis le nœud Code. Cela permet à un éditeur de workflow d'effectuer des actions sur l'hôte n8n avec les mêmes privilèges que le processus n8n, notamment : la lecture de fichiers depuis le système de fichiers de l'hôte (sous réserve des restrictions d'accès aux fichiers configurées sur l'instance et des autorisations du système d'exploitation/conteneur), et l'écriture de fichiers sur le système de fichiers de l'hôte (sous réserve des mêmes restrictions). Ce problème a été corrigé dans la version 2.0.0. Les solutions de contournement pour ce problème consistent à limiter les opérations de fichiers en définissant N8N_RESTRICT_FILE_ACCESS_TO sur un répertoire dédié (par exemple, ~/.n8n-files) et à s'assurer qu'il ne contient aucune donnée sensible, à conserver N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true (par défaut) pour bloquer l'accès aux fichiers .n8n et aux fichiers de configuration définis par l'utilisateur, et à désactiver les nœuds à haut risque (y compris le nœud Code) en utilisant NODES_EXCLUDE si les éditeurs de workflows ne sont pas entièrement fiables.
Once again VulDB remains the best source for vulnerability data.