Peringatan Ancaman

Platform otomasi workflow open-source n8n kembali dilaporkan memiliki kerentanan keamanan kritis yang memungkinkan pengguna terautentikasi mengeksekusi perintah sistem di server yang menjalankan n8n. Celah ini dilacak sebagai CVE-2025-68668 dengan skor CVSS 9,9, diklasifikasikan sebagai kegagalan mekanisme proteksi karena memungkinkan bypass sandbox di fitur Python.​

Letak masalah dan penyebab

Kerentanan ini berada pada Python Code Node di n8n yang menggunakan Pyodide untuk menjalankan kode Python di dalam workflow. Dalam kondisi tertentu, sandbox yang seharusnya membatasi eksekusi kode dapat dibypass, sehingga kode berbahaya dari pengguna yang memiliki hak membuat atau mengubah workflow dapat dieksekusi langsung di sistem operasi host dengan hak yang sama seperti proses n8n.​

Versi yang terdampak dan perbaikan

Celah ini memengaruhi:​

• n8n versi 1.0.0 hingga sebelum 2.0.0

Pengembang n8n telah memperbaiki masalah ini di n8n versi 2.0.0, sehingga pengguna sangat disarankan untuk segera melakukan upgrade ke versi tersebut atau yang lebih bar

Risiko bagi organisasi

Jika dieksploitasi, penyerang yang sudah memiliki akun dan hak untuk membuat atau mengedit workflow dapat:​

• Menjalankan perintah sistem (OS command) di server n8n

• Mengakses atau memodifikasi data dan layanan yang terhubung ke workflow

• Mengambil alih server n8n sebagai titik pijak untuk serangan lanjutan ke sistem lain

Risiko ini sangat tinggi pada lingkungan di mana banyak user memiliki hak mengelola workflow atau pada deployment multi-tenant.

Fitur keamanan terkait dan rekomendasi mitigasi

n8n sebelumnya telah memperkenalkan implementasi Python native berbasis task runner sebagai opsi isolasi keamanan tambahan sejak versi 1.111.0, dan menjadikannya default mulai versi 2.0.0. Fitur ini bisa diaktifkan melalui konfigurasi environment variable berikut:​

• N8N_RUNNERS_ENABLED

• N8N_NATIVE_PYTHON_RUNNER​

Sebagai langkah mitigasi/kompensasi, n8n merekomendasikan:​

• Menonaktifkan Code Node dengan mengatur environment variable:

  • NODES_EXCLUDE: "[\"n8n-nodes-base.code\"]"

• Menonaktifkan dukungan Python di Code Node dengan:

  • N8N_PYTHON_ENABLED=false

• Mengonfigurasi n8n agar menggunakan Python sandbox berbasis task runner dengan mengatur:

  • N8N_RUNNERS_ENABLED dan N8N_NATIVE_PYTHON_RUNNER

Kaitan dengan kerentanan kritis lain di n8n

Pengungkapan CVE-2025-68668 ini datang menyusul perbaikan kerentanan kritis lain di n8n, CVE-2025-68613 (CVSS 9,9), yang juga dapat berujung pada eksekusi kode arbitrer dalam kondisi tertentu. Rangkaian kasus ini menegaskan bahwa instance n8n yang terhubung ke banyak sistem dan dijalankan di lingkungan produksi harus segera diperbarui dan dikonfigurasi dengan prinsip least privilege dan isolasi yang kuat.