CVE-2025-68613

n8n è una piattaforma open source per l'automazione dei workflow. Le versioni a partire dalla 0.211.0 e precedenti alla 1.120.4, 1.121.1 e 1.122.0 contengono una vulnerabilità critica di Remote Code Execution (RCE) nel sistema di valutazione delle espressioni dei workflow. In determinate condizioni, le espressioni fornite da utenti autenticati durante la configurazione dei workflow potrebbero essere valutate in un contesto di esecuzione non sufficientemente isolato dal runtime sottostante. Un attaccante autenticato potrebbe abusare di questo comportamento per eseguire codice arbitrario con i privilegi del processo n8n. Lo sfruttamento riuscito può portare alla completa compromissione dell'istanza interessata, incluso l'accesso non autorizzato a dati sensibili, la modifica dei workflow e l'esecuzione di operazioni a livello di sistema. Questo problema è stato corretto nelle versioni 1.120.4, 1.121.1 e 1.122.0. Si consiglia vivamente agli utenti di aggiornare a una versione corretta, che introduce ulteriori misure di protezione per limitare la valutazione delle espressioni. Se l'aggiornamento non è immediatamente possibile, gli amministratori dovrebbero considerare le seguenti mitigazioni temporanee: limitare le autorizzazioni di creazione e modifica dei workflow ai soli utenti completamente affidabili; e/o distribuire n8n in un ambiente hardened con privilegi del sistema operativo e accesso alla rete limitati per ridurre l'impatto di un potenziale sfruttamento. Questi workaround non eliminano completamente il rischio e dovrebbero essere utilizzati solo come misure a breve termine.