- CVE-2025-68668 permite a execução de comandos arbitrários do sistema em Python Code Node em n8n
- Os invasores com permissões de fluxo de trabalho podem ignorar a sandbox Pyodide, levando a malware, roubo de dados e comprometimento do sistema.
- n8n corrigido na v1.111.0; v2.0.0 é o padrão para garantir o isolamento do Python na execução de tarefas
Uma vulnerabilidade de gravidade crítica foi descoberta recentemente no n8n e pode permitir que os agentes da ameaça executem código arbitrário no sistema subjacente.
n8n é uma plataforma de automação de fluxo de trabalho de código aberto que permite aos usuários conectar aplicativos, APIs e serviços para automatizar tarefas sem codificação pesada. Ele permite que os usuários criem fluxos de trabalho visuais que movem dados entre ferramentas, acionam ações e executam lógica personalizada.
Em um comunicado de segurança publicado no GitHub, foi confirmado que havia uma vulnerabilidade de desvio de sandbox no Python Code Node que usa Pyodide, o tempo de execução Python para o navegador, e outros ambientes JavaScript.
Gravidade de 9,9/10
A falha permite que usuários não autenticados autorizados criem ou modifiquem fluxos de trabalho para executar comandos arbitrários no sistema host executando n8n usando os mesmos privilégios do processo n8n.
Permanece como CVE-2025-68668 e recebeu uma pontuação de gravidade de 9,9/10 (crítica).
Em teoria, um invasor com uma conta válida e permissões para editar o fluxo de trabalho poderia injetar código Python especialmente criado no nó de código Python do fluxo de trabalho, saindo do Pyodide e chamando comandos no nível do sistema. Ao executar comandos arbitrários no host, os invasores podem implantar malware ou backdoors, roubar dados confidenciais, movê-los lateralmente pela rede, alterar e interromper fluxos de trabalho e comprometer completamente o sistema subjacente.
A vulnerabilidade foi corrigida na versão 1.111.0 do n8n, que adicionou uma implementação nativa do Python baseada na execução de tarefas que fornece um “modelo de isolamento mais seguro”. A implementação foi introduzida como um recurso opcional que os usuários podem ativar configurando as variáveis de ambiente N8N_RUNNERS_ENABLED e N8N_NATIVE_PYTHON_RUNNER.
Esta implementação tornou-se o padrão a partir da versão 2.0.0 do n8n, disse o comunicado.
Aqueles que não conseguem atualizar para a versão mais recente podem usar algumas das soluções alternativas disponíveis, incluindo desabilitar o Code Node, desabilitar o suporte Python no Code Node ou configurar o n8n para usar uma sandbox Python baseada no executor de tarefas.
Através notícias cibernéticas
O melhor antivírus para cada orçamento
Siga o TechRadar no Google Notícias e adicione-nos como sua fonte padrão para receber notícias, opiniões e opiniões de nossos especialistas em feeds. Certifique-se de clicar no botão Continuar!
E é claro que você também pode Siga o TechRadar no TikTok para receber novidades, análises, unboxings em formato de vídeo e receber atualizações constantes nossas WhatsApp também
