Kritik n8n Zəifliyi (CVSS 9.9): İş Axını Platformasında Arbitrar Komanda İcrası Riski

Kiber təhlükəsizlik xəbərləri cəbhəsindən gələn son məlumatlara görə, geniş istifadə olunan açıq mənbəli iş axını avtomatlaşdırma platforması olan n8n-də yüksək riskli bir boşluq aşkarlanmışdır. Bu kritik zəiflik (Critical Vulnerability) autentifikasiya olunmuş təcavüzkarlara host sistemlərdə arbitrar əmrləri icra etmək imkanı yaradır və dərhal diqqət tələb edir.

n8n, əməliyyatların avtomatlaşdırılması üçün populyar bir alət olmaqla yanaşı, sistem əmrlərinin icrasına icazə verdiyi üçün təhlükəsizlik tədbirləri yüksək səviyyədə olmalıdır. Təəssüf ki, aşkarlanan bu boşluq platformanın əsas təhlükəsizlik mexanizmlərinin effektivliyini sual altına qoyur.

Texniki Detallar

Sözügedən zəiflik CVE-2025-68668 identifikatoru ilə izlənilir və ən yüksək təhlükə səviyyəsini göstərən CVSS (Common Vulnerability Scoring System) şkalası üzrə 10 üzərindən 9.9 kimi həddindən artıq yüksək bal almışdır. Bu göstərici zəifliyin istismarının asanlığını və sistemə vura biləcəyi potensial zərərin miqyasını əks etdirir.

Bu təhlükəsizlik boşluğunun kökü n8n-in ‘Python Code Node’ hissəsində mövcud olan ‘sandbox-bypass’ (sandbox-dan yan keçmə) problemindən qaynaqlanır. Bu düyün kod icrası üçün Pyodide mühitindən istifadə edir. Pyodide-nin əsas məqsədi, Python kodunu təcrid olunmuş təhlükəsiz bir mühitdə işə salmaq olsa da, bu zəiflik autentifikasiya olunmuş istifadəçilərə (iş axını yaratma və ya dəyişdirmə icazəsi olan) nəzərdə tutulan təhlükəsizlik sandbox-unu aşmağa imkan verir.

Zəifliyin əsas xüsusiyyətləri aşağıdakı kimidir:

• CVE İD: CVE-2025-68668
• CVSS Balı: 9.9 (Kritik)
• Zəiflik Tipi: Sandbox Bypass / Mühafizə Mexanizminin Uğursuzluğu (CWE-693)
• Hücum Vektoru: Şəbəkə (Network)
• Hücum Tələbi: Şəbəkəyə çıxış və aşağı səviyyəli autentifikasiya imtiyazları (Authenticated Access)

Hücumun kompleksliyi son dərəcə aşağıdır və istifadəçi tərəfindən heç bir qarşılıqlı əlaqə tələb etmir. Bu, zəifliyin sürətlə istismar edilmə ehtimalını artırır.

Təhlükənin Miqyası

CVE-2025-68668 zəifliyi n8n platformasının 1.0.0 versiyasından başlayaraq 1.111.0 versiyasına qədər olan geniş diapazonunu əhatə edir. Bu, n8n platformasından istifadə edən çox sayda təşkilatın potensial risk altında olduğu deməkdir.

Zəifliyin istismar edilməsi təcavüzkarlara n8n prosesinin eyni imtiyazları ilə host sistemdə istənilən komandaları icra etmək imkanı verir. Bu, verilənlərin oğurlanmasından tutmuş, sistemin tam kompromitasiyasına qədər geniş bir zərər spektrinə səbəb ola bilər.

Bu boşluğun ‘Changed’ (Dəyişdirilmiş) əhatə dairəsi təsnifatı xüsusilə narahatlıq doğurur. Bu, təsirin yalnız zəif komponentin özü ilə məhdudlaşmadığını, həm də n8n-in təhlükəsizlik əhatəsindən kənar resurslara da təsir edə biləcəyini göstərir. Başqa sözlə, bu boşluqdan istifadə edən təcavüzkar, n8n konteynerindən və ya prosesindən çıxaraq əsas əməliyyat sisteminə tam nəzarət əldə edə bilər.

Zəifliyin CWE-693 kimi təsnif edilməsi (Protection Mechanism Failure) n8n-in Python icra mühitini hədəf alan yönləndirilmiş hücumlara qarşı adekvat müdafiə təmin etmədiyini təsdiqləyir.

Tövsiyələr və Həll Yolları

n8n bu kritik problemi aradan qaldırmaq üçün 2.0.0 versiyasında vacib təhlükəsizlik yeniləmələrini tətbiq etmişdir. Yeni versiyada daha təkmilləşdirilmiş təcridetmə təmin edən, task-runner əsaslı yerli Python icra modeli istifadə olunur.

Zərər çəkmiş versiyaları işlədən təşkilatlar təhlükəsizliyi təmin etmək üçün dərhal ən azı 2.0.0 versiyasına və ya daha sonrakı versiyalara yüksəltməlidirlər. Yüksəltmənin mümkün olmadığı vəziyyətlərdə, n8n tərəfindən müvəqqəti riskləri azaltmaq üçün aşağıdakı iş üsulları tövsiyə olunur:

• Code Node-un Tamamilə Deaktiv Edilməsi: `NODES_EXCLUDE` ətraf mühit dəyişənini `n8n-nodes-base.code` dəyərinə təyin edərək ‘Code Node’ hissəsini tamamilə istismardan kənarlaşdırmaq.
• Python Dəstəyinin Ləğvi: Ətraf mühit dəyişəni `N8N_PYTHON_ENABLED=false` kimi təyin edilməlidir (Bu seçim 1.104.0 versiyasından etibarən mövcuddur).
• Sandbox Rejiminin Aktiv Edilməsi: n8n-in yeni task runner-əsaslı Python sandbox-unu `N8N_RUNNERS_ENABLED` və `N8N_NATIVE_PYTHON_RUNNER` ətraf mühit dəyişənlərini aktiv etməklə təmin etmək.

Bu tədbirlər təcavüzkarın hücumu həyata keçirə biləcəyi vektoru məhdudlaşdırır və təhlükəsizlik boşluğu aradan qaldırılanadək əlavə müdafiə qatı yaradır.

***

**Nəticə**

Kritik n8n zəifliyi, iş axını avtomatlaşdırma platformalarının kod icrası mühitindəki təcridetmə mexanizmlərinin nə dərəcədə həyati əhəmiyyətə malik olduğunu bir daha sübut edir. CVSS 9.9 balı ilə bu boşluq, sistem administratorları üçün prioritet təhlükəsizlik məsələsi olaraq görülməli və müvafiq yeniləmələr təxirə salınmadan tətbiq edilməlidir.