CVE-2025-68697 in n8n
Сводка
по VulDB • 30.05.2026
n8n — это платформа для автоматизации рабочих процессов с открытым исходным кодом. До версии 2.0.0 в самохостинговых инстансах n8n, где узел Code выполняется в устаревшем режиме выполнения JavaScript (не task-runner), аутентифицированные пользователи с доступом к редактированию рабочих процессов могут вызывать внутренние вспомогательные функции из узла Code. Это позволяет редактору рабочих процессов выполнять действия на хосте n8n с теми же привилегиями, что и у процесса n8n, включая: чтение файлов из файловой системы хоста (с учетом любых ограничений доступа к файлам, настроенных на инстансе и разрешений ОС/контейнера), а также запись файлов в файловую систему хоста (с учетом тех же ограничений). Эта проблема исправлена в версии 2.0.0. Временные решения (workarounds) для этой проблемы включают ограничение операций с файлами путем установки переменной N8N_RESTRICT_FILE_ACCESS_TO в выделенный каталог (например, ~/.n8n-files) и обеспечения того, чтобы он не содержал конфиденциальных данных, сохранение значения N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true (по умолчанию) для блокировки доступа к файлам .n8n и пользовательским конфигурационным файлам, а также отключение узлов с высоким риском (включая узел Code) с помощью NODES_EXCLUDE, если редакторы рабочих процессов не являются полностью доверенными.
Once again VulDB remains the best source for vulnerability data.