BDU:2026-00123

Опубликовано: 24 дек. 2025

Источник: fstec

CVSS3: 9.9

CVSS2: 8.7

EPSS Низкий

Описание

Уязвимость функции Code Node платформы для автоматизации рабочих процессов N8n связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

N8n

Версия ПО

от 1.0.0 до 2.0.0 (N8n)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,7)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности использования функции Code Node;

- ограничение возможности написания и выполнения кода на Python путем установления значения false для переменной N8N_PYTHON_ENABLED;

- использование средств межсетевого экранирования для ограничения удалённого доступа к уязвимой платформе;

- сегментирование сети для ограничения доступа к уязвимой платформе;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий;

- ограничение доступа к платформе из внешних сетей (Интернет).

Использование рекомендаций:

https://github.com/n8n-io/n8n/security/advisories/GHSA-62r4-hw23-cc8v

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-68668
CVE

EPSS

Процентиль: 13%

0.00043

Низкий

9.9 Critical

CVSS3

8.7 High

CVSS2

Связанные уязвимости

CVE-2025-68668

CVSS3: 9.9

nvd

около 1 месяца назад

n8n is an open source workflow automation platform. From version 1.0.0 to before 2.0.0, a sandbox bypass vulnerability exists in the Python Code Node that uses Pyodide. An authenticated user with permission to create or modify workflows can exploit this vulnerability to execute arbitrary commands on the host system running n8n, using the same privileges as the n8n process. This issue has been patched in version 2.0.0. Workarounds for this issue involve disabling the Code Node by setting the environment variable NODES_EXCLUDE: "[\"n8n-nodes-base.code\"]", disabling Python support in the Code node by setting the environment variable N8N_PYTHON_ENABLED=false, which was introduced in n8n version 1.104.0, and configuring n8n to use the task runner based Python sandbox via the N8N_RUNNERS_ENABLED and N8N_NATIVE_PYTHON_RUNNER environment variables.

GHSA-62r4-hw23-cc8v

CVSS3: 9.9

github

около 1 месяца назад

n8n Vulnerable to Arbitrary Command Execution in Pyodide based Python Code Node

EPSS

Процентиль: 13%

0.00043

Низкий

9.9 Critical

CVSS3

8.7 High

CVSS2