CVE-2025-68697 in n8n
Tóm tắt
Bởi VulDB • 30/05/2026
n8n là một nền tảng tự động hóa quy trình làm việc mã nguồn mở. Trước phiên bản 2.0.0, trong các phiên bản n8n tự lưu trữ (self-hosted) nơi nút Code chạy ở chế độ thực thi JavaScript kế thừa (legacy, không sử dụng task-runner), người dùng đã xác thực có quyền chỉnh sửa quy trình làm việc có thể gọi các hàm trợ giúp nội bộ từ bên trong nút Code. Điều này cho phép người chỉnh sửa quy trình làm việc thực hiện các hành động trên máy chủ n8n với cùng đặc quyền như tiến trình n8n, bao gồm: đọc các tệp từ hệ thống tệp của máy chủ (tuân theo bất kỳ hạn chế truy cập tệp nào được cấu hình trên phiên bản và quyền của hệ điều hành/hộp chứa), và ghi các tệp vào hệ thống tệp của máy chủ (tuân theo các hạn chế tương tự). Vấn đề này đã được vá trong phiên bản 2.0.0. Các biện pháp khắc phục tạm thời cho vấn đề này bao gồm hạn chế các thao tác tệp bằng cách đặt biến môi trường N8N_RESTRICT_FILE_ACCESS_TO thành một thư mục chuyên dụng (ví dụ: ~/.n8n-files) và đảm bảo thư mục này không chứa dữ liệu nhạy cảm, giữ nguyên N8N_BLOCK_FILE_ACCESS_TO_N8N_FILES=true (mặc định) để chặn truy cập vào các tệp cấu hình .n8n và do người dùng xác định, cũng như vô hiệu hóa các nút có rủi ro cao (bao gồm cả nút Code) bằng cách sử dụng NODES_EXCLUDE nếu người chỉnh sửa quy trình làm việc không được tin cậy hoàn toàn.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.