Hack Alerta

CVE-2025-68668: falha 9.9 em n8n permite execução remota por usuários autenticados

Foi divulgado CVE-2025-68668, falha crítica (CVSS 9.9) no n8n que permite a usuários autenticados executar comandos no host. A descrição pública aponta para falha em mecanismo de proteção; informações sobre versões afetadas e patch não constam no item RSS consultado.

Um novo bug crítico foi divulgado no n8n, plataforma open-source de automação de workflows, que permite a usuários autenticados executar comandos no sistema hospedeiro.

Resumo técnico

A falha foi registrada como CVE-2025-68668 e recebeu nota 9.9 no CVSS. Descrita pela fonte como uma "falha de mecanismo de proteção", ela permite que um ator autenticado cause execução arbitrária de comandos no host subjacente.

O que se sabe agora

  • Identificador: CVE-2025-68668.
  • Severidade: CVSS 9.9 (classificação reportada pela fonte).
  • Vetor: execução de comandos no host por usuário autenticado (a descrição pública aponta para falha em mecanismo de proteção).
  • Produto afetado: n8n (plataforma de automação de workflows, open-source).

Evidências e limites das informações disponíveis

A reportagem consultada (The Hacker News) registra a existência do CVE e a nota de severidade, além de descrever o impacto (execução de comandos) e qualificar a natureza da falha. O item do feed estava truncado ao listar quais versões são afetadas — a fonte não traz, no texto incluído no RSS, a lista completa de versões vulneráveis nem instruções de mitigação ou link para comunicado oficial do projeto n8n.

Ou seja: os dados públicos confirmam um RCE (remote code execution) de altíssima gravidade, mas faltam na peça elementos decisivos para resposta imediata de incidentes: a confirmação do fornecedor sobre versões afetadas, existência (ou não) de PoC/exploração ativa em campo e a disponibilidade de correção/patch ou workaround oficial.

Vetor e implicações para ambientes corporativos

Como a falha requer autenticação, o cenário de maior risco são implantações do n8n com:

  • contas sem controle de acesso forte (senhas fracas, ausência de MFA);
  • endpoints de administração expostos à Internet sem proteções adicionais (WAF, lista de IPs, VPN);
  • instalações que executam workflows com privilégios do sistema — exatamente o caso em que uma RCE autenticada traduz-se em comprometimento do host e, possivelmente, do ambiente orquestrado pelo workflow.

Recomendações (baseadas nas informações públicas e boas práticas)

Enquanto não houver aviso oficial do fornecedor ou correção publicada (informação ausente na matéria), equipes de segurança e operações devem:

  • isolar as instâncias n8n: restringir acesso à interface de administração por firewall/ACLs e reduzir exposição pública;
  • forçar autenticação multifator (MFA) para todas as contas administrativas e para usuários que têm acesso à criação/edição de workflows;
  • auditar imediatamente quais workflows rodam com permissões elevadas e revisar dependências/credenciais armazenadas — remover segredos desnecessários ou rotacioná‑los;
  • ativar e coletar logs de atividades, comandos e acesso a workflows para permitir detecção e resposta (SIEM/EDR);
  • avaliar controles de execução: rodar instâncias n8n com o mínimo de privilégios no host e, quando possível, dentro de contêineres com políticas de segurança (seccomp, AppArmor/SELinux);
  • monitorar fontes oficiais (repositório do projeto n8n, páginas de advisories e CPE/CVEs) para aplicar patches assim que liberados e validar notas de versão;
  • se for necessário manter a exposição até correção, aplicar mitigadores em camadas: WAF com regras de proteção, autenticação federada com SSO/MFA e isolamento de rede.

O que ainda falta apurar

Da matéria original não constam: lista de versões vulneráveis, PoC pública ou evidência de exploração ativa, e orientações oficiais de mitigação do time do n8n. Também não há indicação sobre se a falha afeta apenas implantações autogerenciadas ou também instalações em provedores gerenciados/serviços hospedados.

Até que essas informações oficiais sejam publicadas, é prudente tratar o CVE-2025-68668 como de risco crítico para qualquer organização que rode n8n com usuários autenticados, especialmente quando workflows têm acesso a sistemas sensíveis.

Observação final

Reportagens de divulgação inicial costumam preceder comunicados do projeto ou fixes. A melhor ação para equipes de segurança é combinar proteção preventiva (isolar, endurecer acesso e rotacionar credenciais) com monitoramento ativo e pronta aplicação de patches assim que o fornecedor liberar orientação técnica.


Baseado em publicação original de The Hacker News
Publicado pela Redação Hack Alerta com base em fontes externas citadas e monitoramento editorial do Hack Alerta. Para decisões técnicas, operacionais ou jurídicas, confirme sempre os detalhes na fonte original.