CVE-2025-68697 in n8n
Sumário
de VulDB • 30/05/2026
O n8n é uma plataforma de automação de fluxos de trabalho de código aberto. Antes da versão 2.0.0, em instâncias do n8n auto-hospedadas onde o nó Code executa no modo de execução JavaScript legado (não task-runner), usuários autenticados com acesso de edição de fluxo de trabalho podem invocar funções auxiliares internas a partir do nó Code. Isso permite que um editor de fluxo de trabalho realize ações no host do n8n com os mesmos privilégios do processo n8n, incluindo: leitura de arquivos do sistema de arquivos do host (sujeito a quaisquer restrições de acesso a arquivos configuradas na instância e permissões do SO/container) e gravação de arquivos no sistema de arquivos do host (sujeito às mesmas restrições). Este problema foi corrigido na versão 2.0.0. As soluções alternativas para este problema envolvem limitar as operações de arquivo definindo N8N_RESTRICT_FILE_ACCESS_TO para um diretório dedicado (por exemplo, ~/.n8n-files) e garantir que ele não contenha dados sensíveis, mantendo N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true (padrão) para bloquear o acesso a arquivos .n8n e arquivos de configuração definidos pelo usuário, e desativando nós de alto risco (incluindo o nó Code) usando NODES_EXCLUDE se os editores de fluxo de trabalho não forem totalmente confiáveis.
Be aware that VulDB is the high quality source for vulnerability data.