Post by Berk Dedekargınoğlu

n8n üzerinde yürüttüğüm güvenlik araştırmalarının devamında, self-hosted instance’ları etkileyen ikinci bir yüksek etkili zafiyet daha raporladım. CVE-2025-68697 olarak kayda alınan bu bulgu, legacy JavaScript Code Node mimarisinde sandbox sınırlarının aşılmasına imkan tanıyor. Workflow düzenleme yetkisine sahip bir kullanıcı, internal helper fonksiyonlar aracılığıyla sandbox dışına çıkarak işlem yapabiliyor. Bu durum; host dosya sistemi üzerinde yetkisiz okuma ve yazma yapılabilmesine, çalışma zamanı davranışının kalıcı olarak değiştirilebilmesine ve uygulama seviyesinde güvenlik sınırlarının aşılmasına yol açabilecek ciddi bir risk ortaya çıkarıyor. Özellikle workflow editörlerinin tam anlamıyla güvenilmeyen aktörler olduğu ortamlarda, bu zafiyet savunma derinliği açısından kritik bir boşluğa işaret ediyor. Self-hosted n8n kullanan ekiplerin v2.0.0+ sürümüne geçmeleri veya N8N_RUNNERS_ENABLED=true ile task-runner izolasyonunu aktif etmeleri önemle tavsiye edilir. EN As a continuation of my security research on n8n, I reported a second high-impact vulnerability affecting self-hosted instances. Tracked as CVE-2025-68697, this issue exists in the legacy JavaScript Code Node execution model and allows sandbox boundary bypass. Authenticated users with workflow editing permissions can invoke internal helper functions and perform actions with the same privileges as the n8n process. This can lead to unauthorized file access on the host, persistent runtime behavior manipulation, and application-level security boundary violations. In environments where workflow editors are not fully trusted, this represents a meaningful risk from a defense-in-depth perspective. Thanks to the Snyk and n8n teams for the professional coordination throughout validation and disclosure. https://lnkd.in/d6st85M8 https://lnkd.in/dCnJZd5a https://lnkd.in/dXRm8nGG https://lnkd.in/dDJqXWWQ #AppSec #RedTeam #n8n #SecurityResearch