CVE-2025-68613

n8n est une plateforme open source d'automatisation de workflows. Les versions à partir de 0.211.0 et antérieures à 1.120.4, 1.121.1 et 1.122.0 contiennent une vulnérabilité critique d'exécution de code à distance (RCE) dans leur système d'évaluation des expressions de workflow. Dans certaines conditions, les expressions fournies par des utilisateurs authentifiés lors de la configuration des workflows peuvent être évaluées dans un contexte d'exécution qui n'est pas suffisamment isolé du runtime sous-jacent. Un attaquant authentifié pourrait abuser de ce comportement pour exécuter du code arbitraire avec les privilèges du processus n8n. Une exploitation réussie peut conduire à une compromission complète de l'instance affectée, y compris l'accès non autorisé à des données sensibles, la modification des workflows et l'exécution d'opérations au niveau du système. Ce problème a été corrigé dans les versions 1.120.4, 1.121.1 et 1.122.0. Il est fortement conseillé aux utilisateurs de mettre à niveau vers une version corrigée, qui introduit des protections supplémentaires pour restreindre l'évaluation des expressions. Si la mise à niveau n'est pas immédiatement possible, les administrateurs devraient envisager les mesures d'atténuation temporaires suivantes : limiter les autorisations de création et de modification des workflows aux seuls utilisateurs pleinement de confiance ; et/ou déployer n8n dans un environnement durci avec des privilèges de système d'exploitation restreints et un accès réseau limité afin de réduire l'impact d'une exploitation potentielle. Ces solutions de contournement n'éliminent pas complètement le risque et ne doivent être utilisées que comme des mesures à court terme.