CVE-2025-68668

N8n : Contournement de bac à sable et exécution de code à distance

Une faille de sécurité, identifiée sous la référence CVE-2025-68668, a été découverte dans la plateforme d’automatisation de flux de travail open-source n8n. Cette vulnérabilité concerne le nœud “Python Code” qui utilise Pyodide. Elle affecte les versions de n8n antérieures à la version 2.0.0.

Un utilisateur authentifié, disposant des droits de création ou de modification de flux de travail, peut exploiter cette faille pour exécuter des commandes arbitraires sur le système hôte où tourne n8n. Ces commandes seraient exécutées avec les mêmes privilèges que le processus n8n.

Points clés :

• Produit affecté : n8n (plateforme d’automatisation de flux de travail)
• Type de vulnérabilité : Contournement de bac à sable (Sandbox bypass)
• Composant affecté : Nœud “Python Code” utilisant Pyodide
• Versions affectées : 1.0.0 jusqu’à avant 2.0.0
• Conséquence : Exécution de commandes arbitraires sur le système hôte avec les privilèges du processus n8n.

Recommandations :

• Mise à jour : Passer à la version 2.0.0 ou une version ultérieure de n8n, car le correctif y a été intégré.
• Solutions de contournement :
  • Désactiver le nœud “Code Node”.
  • Désactiver le support Python.
  • Configurer n8n pour utiliser le bac à sable Python basé sur un exécuteur de tâches (task runner-based Python sandbox).

Source