CVE-2025-61914: CWE-79：n8n-io n8n 中网页生成期间输入过滤不当（跨站脚本） - 实时威胁情报 - 威胁雷达

严重性：高 类型：漏洞

CVE-2025-61914

n8n 是一个开源工作流自动化平台。在 1.114.0 版本之前，当使用“响应 Webhook”节点时，n8n 中可能存在存储型跨站脚本漏洞。当此节点响应包含可执行脚本的 HTML 内容时，有效负载可能直接在顶级窗口中执行，而不是在 1.103.0 版本中引入的预期沙箱环境中执行。此行为可能使拥有工作流创建权限的恶意行为者能够在 n8n 编辑器界面上下文中执行任意 JavaScript。此问题已在 1.114.0 版本中修复。此问题的缓解措施包括：仅将工作流创建和修改权限限制给受信任的用户；避免在“响应 Webhook”节点中使用不受信任的 HTML 响应；以及使用外部反向代理或 HTML 清理器来过滤包含可执行脚本的响应。

AI 分析

技术摘要

CVE-2025-61914 是一个影响 n8n（开源工作流自动化平台）1.114.0 之前版本的高危存储型跨站脚本漏洞。该问题具体涉及“响应 Webhook”节点，当该节点配置为响应包含可执行脚本的 HTML 内容时，无法正确沙箱化此内容。脚本不是在安全的 iframe 或沙箱环境（于 1.103.0 版本引入）中执行，而是直接在 n8n 编辑器界面的顶级窗口上下文中执行。这种输入过滤不当允许拥有创建或修改工作流权限的恶意行为者注入并执行任意 JavaScript 代码。此类代码执行可能导致会话令牌被盗、工作流被操纵或在 n8n 环境中进一步横向移动。利用该漏洞需要攻击者具备工作流创建权限和一定的用户交互（触发 Webhook 响应）。尽管目前尚未有已知的野外利用报告，但由于在自动化平台内存在权限提升和持久性代码执行的潜在风险，该漏洞影响重大。该问题在 n8n 版本 1.114.0 中通过强制对 Webhook 响应进行适当的沙箱处理得以解决。缓解措施包括：将工作流创建/修改权限限制给受信任的用户；避免在 Webhook 响应中使用不受信任的 HTML；部署外部反向代理或 HTML 清理器来过滤恶意脚本。

潜在影响

对于欧洲组织而言，此漏洞对通过 n8n 管理的自动化工作流的完整性和机密性构成风险。成功利用可能允许攻击者在 n8n 编辑器内执行任意 JavaScript，可能导致未经授权访问敏感工作流数据、操纵自动化流程以及中断关键业务操作。由于 n8n 用于集成各种服务和自动化任务，其失陷可能波及到其他连接的系统，从而放大影响。依赖 n8n 进行内部或面向客户的自动化工作流的组织可能面临数据泄露、工作流破坏或未经授权的权限提升。该漏洞不直接影响可用性，但会破坏对自动化完整性的信任。鉴于欧洲（尤其是在金融、制造和公共部门等领域）对工作流自动化的采用日益增加，如果未加缓解，其影响可能非常重大。

缓解建议

将所有 n8n 实例升级到 1.114.0 或更高版本，该版本通过正确沙箱化 Webhook 响应修复了此漏洞。
严格将工作流创建和修改权限限制给受信任且经过审查的用户，以减少攻击面。
避免在“响应 Webhook”节点中使用不受信任或用户提供的 HTML 内容，以防止注入可执行脚本。
部署配置为清理或阻止来自 n8n Webhook 端点、包含可执行脚本的 HTML 响应的外部反向代理或 Web 应用防火墙。
对工作流更改和 Webhook 响应实施监控和告警，以检测异常活动。
教育管理员和开发人员了解安全的工作流设计以及注入不受信任内容的风险。
定期审计用户权限和工作流配置，以确保符合最小权限原则。

受影响国家

德国、法国、英国、荷兰、瑞典、意大利、西班牙、波兰

来源：CVE 数据库 V5 发布日期：2025年12月26日，星期五