PT-2025-53605
CVE-2025-68668
·
تاريخ النشر
2025-12-24
·
تاريخ التحديث
2026-10-13
الوصف من
CVSS 3.1
9.9
حرجةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:L
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات n8n من 1.0.0 حتى أقل من 2.0.0
الوصف
n8n هي منصة مفتوحة المصدر لأتمتة سير العمل. توجد ثغرة أمنية تتعلق بتجاوز عزل الرمل (sandbox) في عقدة كود Python التي تستخدم Pyodide، وتؤثر على الإصدارات من 1.0.0 حتى 2.0.0، باستثناء الإصدار 2.0.0 نفسه. يمكن للمستخدم المصادق عليه الذي يتمتع بإذن إنشاء أو تعديل سير العمل استغلال هذه الثغرة لتنفيذ أوامر تعسفية على النظام المضيف الذي يعمل عليه n8n، بنفس امتيازات عملية n8n. هذه الثغرة، المسجلة تحت الرقم CVE-2025-68668، حصلت على درجة CVSS تبلغ 9.9 (حرجة). تشمل الحلول البديلة تعطيل «عقدة الكود» (Code Node) عن طريق تعيين متغير البيئة
NODES EXCLUDE إلى ”[“n8n-nodes-base.code”]“، وتعطيل دعم لغة Python في «عقدة الكود» عن طريق تعيين متغير البيئة N8N PYTHON ENABLED إلى false (متوفر في الإصدار 1.104.0 من n8n) وتهيئة n8n لاستخدام بيئة الحماية (sandbox) لـ Python القائمة على مشغل المهام (task runner) من خلال متغيرات البيئة N8N RUNNERS ENABLED وN8N NATIVE PYTHON RUNNER. أصبح تنفيذ Python القائم على مشغل المهام هو الإعداد الافتراضي بدءًا من الإصدار 2.0.0 من n8n.التوصيات
قم بالتحديث إلى الإصدار 2.0.0 أو أحدث من n8n.
كحل بديل مؤقت، قم بتعطيل «عقدة الكود» (Code Node) عن طريق تعيين متغير البيئة
NODES EXCLUDE إلى ”[“n8n-nodes-base.code”]“.كحل بديل مؤقت، قم بتعطيل دعم لغة Python في «عقدة الكود» (Code Node) عن طريق تعيين
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾