Vulnérabilité CVE-2025-68668 n8n

Des chercheurs en cybersécurité ont révélé une nouvelle vulnérabilité critique dans n8n, la plateforme open source d'automatisation des flux de travail très répandue. Cette faille pourrait permettre à un attaquant authentifié d'exécuter des commandes système arbitraires sur le serveur sous-jacent, compromettant potentiellement l'intégralité du système.

Ce problème est référencé CVE-2025-68668 et présente un score CVSS de 9,9, ce qui le classe parmi les vulnérabilités critiques. Il a été identifié comme une défaillance d'un mécanisme de protection.

Qui est à risque et pourquoi c’est important ?

Cette vulnérabilité affecte les versions de n8n de 1.0.0 à (mais pas de) 2.0.0. Tout utilisateur authentifié ayant la permission de créer ou de modifier des flux de travail pourrait exploiter cette faille pour exécuter des commandes système avec les mêmes privilèges que le processus n8n.

Cette vulnérabilité provient d'une faille de sécurité dans le nœud de code Python qui repose sur Pyodide. En exploitant cette faille, un attaquant peut s'échapper de l'environnement d'exécution prévu et interagir directement avec le système d'exploitation hôte.

Le problème a été entièrement corrigé dans la version 2.0.0 de n8n.

Analyse technique : Évasion du bac à sable Python

D'après l'avis officiel, les contrôles de sandbox du nœud de code Python étaient insuffisants, permettant aux attaquants de contourner les restrictions et d'exécuter des commandes arbitraires. Cela accroît considérablement le niveau de risque des systèmes affectés, notamment dans les environnements où plusieurs utilisateurs peuvent concevoir ou modifier des flux de travail.

Améliorations de sécurité et correctif à long terme de n8n

Pour répondre aux préoccupations croissantes liées au sandboxing, n8n a introduit, dans la version 1.111.0, un modèle d'exécution Python natif basé sur un gestionnaire de tâches, en tant que fonctionnalité optionnelle offrant une isolation renforcée. Ce modèle peut être activé à l'aide des variables d'environnement N8N_RUNNERS_ENABLED et N8N_NATIVE_PYTHON_RUNNER.

Avec la sortie de la version 2.0.0, cette implémentation plus sûre est désormais activée par défaut, ce qui corrige efficacement la vulnérabilité.

Mesures d’atténuation recommandées pour les systèmes non corrigés

En attendant la mise à niveau vers la version 2.0.0, n8n recommande d'appliquer les mesures de protection temporaires suivantes :

Désactivez complètement le nœud de code en configurant :
NODES_EXCLUDE: ['n8n-nodes-base.code']

Désactivez la prise en charge de Python dans le nœud de code en configurant :
N8N_PYTHON_ENABLED=false

Forcer l'utilisation du bac à sable Python basé sur l'exécuteur de tâches via :
N8N_RUNNERS_ENABLED et N8N_NATIVE_PYTHON_RUNNER

Ces mesures réduisent considérablement le risque de fuite du bac à sable et d'exécution de commandes.

Cela fait partie d’une tendance inquiétante

Cette divulgation fait suite à la découverte d'une autre vulnérabilité critique de n8n, CVE-2025-68613 (également notée 9,9 sur CVSS), qui pourrait elle aussi permettre l'exécution de code arbitraire dans certaines conditions. Ces deux problèmes soulignent l'urgence pour les administrateurs de prioriser les mises à jour et de restreindre les autorisations des flux de travail.