Se ha revelado una nueva vulnerabilidad de seguridad crítica en n8n, una plataforma de automatización de flujo de trabajo de código franco, que podría permitir a un atacante autenticado ejecutar comandos arbitrarios del sistema en el host subyacente.
La vulnerabilidad, rastreada como CVE-2025-68668tiene una calificación de 9,9 en el sistema de puntuación CVSS. Se ha descrito como un caso de desacierto del mecanismo de protección.
Afecta a las versiones de n8n desde 1.0.0 hasta la 2.0.0, pero no incluida, y permite a un afortunado autenticado con permiso crear o modificar flujos de trabajo para ejecutar comandos arbitrarios del sistema operante en el host que ejecuta n8n. El problema se solucionó en la lectura 2.0.0.
“Existe una vulnerabilidad de omisión de sandbox en el nodo de código Python que usa Pyodide”, afirma un aviso sobre la falta. “Un afortunado autenticado con permiso para crear o modificar flujos de trabajo puede beneficiarse esta vulnerabilidad para ejecutar comandos arbitrarios en el sistema host que ejecuta n8n, utilizando los mismos privilegios que el proceso n8n”.
N8n dijo que había introducido la implementación nativa de Python basada en el ejecutor de tareas en la lectura 1.111.0 como una característica opcional para mejorar el aislamiento de seguridad. La función se puede habilitar configurando las variables de entorno N8N_RUNNERS_ENABLED y N8N_NATIVE_PYTHON_RUNNER. Con el emanación de la lectura 2.0.0, la implementación pasó a ser la predeterminada.
Como decisión alternativa, n8n recomienda que los usuarios sigan los pasos que se describen a continuación:
- Deshabilite el nodo de código configurando la variable de entorno NODES_EXCLUDE: “(“n8n-nodes-base.code”)”
- Deshabilite la compatibilidad con Python en el nodo Código configurando la variable de entorno N8N_PYTHON_ENABLED=false
- Configure n8n para usar el entorno definido de Python basado en el ejecutor de tareas a través de las variables de entorno N8N_RUNNERS_ENABLED y N8N_NATIVE_PYTHON_RUNNER
La divulgación se produce cuando n8n abordó otra vulnerabilidad crítica (CVE-2025-68613, puntuación CVSS: 9,9) que podría resultar en la ejecución de código improcedente en determinadas circunstancias.
