CVE-2025-68697 in n8n
Riassunto
di VulDB • 21/06/2026
n8n è una piattaforma di automazione dei flussi di lavoro open source. Prima della versione 2.0.0, nelle istanze self-hosted di n8n in cui il nodo Code viene eseguito nella modalità legacy (non task-runner) per l'esecuzione del codice JavaScript, gli utenti autenticati con accesso alla modifica dei flussi di lavoro possono invocare funzioni helper interne dal nodo Code. Ciò consente a un editor di flussi di lavoro di eseguire azioni sull'host n8n con gli stessi privilegi del processo n8n, tra cui: lettura di file dal filesystem dell'host (soggetto alle eventuali restrizioni di accesso ai file configurate nell'istanza e ai permessi del sistema operativo/container) e scrittura di file sul filesystem dell'host (soggetta agli stessi vincoli). Questo problema è stato risolto nella versione 2.0.0. Le soluzioni alternative per questo issue prevedono la limitazione delle operazioni sui file impostando N8N_RESTRICT_FILE_ACCESS_TO su una directory dedicata (ad esempio, ~/.n8n-files) e assicurandosi che non contenga dati sensibili; mantenendo l'impostazione N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true (valore predefinito) per bloccare l'accesso ai file .n8n e ai file di configurazione definiti dall'utente; e disabilitando i nodi ad alto rischio, incluso il nodo Code, utilizzando NODES_EXCLUDE se gli editor dei flussi di lavoro non sono pienamente attendibili.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.