Sebuah kerentanan keamanan kritis baru telah terungkap di n8n, platform otomatisasi alur kerja sumber terbuka, yang dapat memungkinkan penyerang yang terautentikasi untuk mengeksekusi perintah sistem sembarangan pada host yang mendasarinya.
Kerentanan tersebut, yang dilacak sebagai CVE-2025-68668, diberi peringkat 9,9 pada sistem penilaian CVSS. Kerentanan ini digambarkan sebagai kasus kegagalan mekanisme perlindungan. Vladimir Tokarev dan Ofek Itach dari Cyera Research Labs dikreditkan sebagai penemu dan pelapor celah keamanan ini, yang diberi kode nama N8scape.
Kerentanan ini memengaruhi versi n8n mulai dari 1.0.0 hingga, tetapi tidak termasuk, 2.0.0, dan memungkinkan pengguna terautentikasi dengan izin untuk membuat atau memodifikasi alur kerja untuk mengeksekusi perintah sistem operasi sembarangan pada host yang menjalankan n8n. Masalah ini telah diatasi pada versi 2.0.0.
“Terdapat kerentanan bypass sandbox pada Python Code Node yang menggunakan Pyodide,” demikian pernyataan dalam pemberitahuan tentang kerentanan tersebut. “Pengguna terautentikasi dengan izin untuk membuat atau memodifikasi alur kerja dapat mengeksploitasi kerentanan ini untuk mengeksekusi perintah sembarangan pada sistem host yang menjalankan n8n, menggunakan hak akses yang sama dengan proses n8n.”
N8n menyatakan telah memperkenalkan implementasi Python asli berbasis task runner pada versi 1.111.0 sebagai fitur opsional untuk meningkatkan isolasi keamanan. Fitur ini dapat diaktifkan dengan mengkonfigurasi variabel lingkungan N8N_RUNNERS_ENABLED dan N8N_NATIVE_PYTHON_RUNNER. Dengan dirilisnya versi 2.0.0, implementasi tersebut telah dijadikan default.
Sebagai solusi sementara, n8n merekomendasikan agar pengguna mengikuti langkah-langkah yang diuraikan di bawah ini:
– Nonaktifkan Node Kode dengan mengatur environment variable NODES_EXCLUDE: “[\”n8n-nodes-base.code\”]”
– Nonaktifkan dukungan Python di node Kode dengan mengatur environment variable N8N_PYTHON_ENABLED=false
– Konfigurasi n8n untuk menggunakan sandbox Python berbasis task runner melalui environment variable N8N_RUNNERS_ENABLED dan N8N_NATIVE_PYTHON_RUNNER
Pengungkapan ini terjadi bersamaan dengan penanganan kerentanan kritis lainnya oleh n8n (CVE-2025-68613, skor CVSS: 9.9) yang dapat mengakibatkan eksekusi kode sembarangan dalam keadaan tertentu.
