n8n Git节点预提交钩子漏洞导致远程代码执行风险剖析

漏洞详情

漏洞标识：CVE-2025-65964 (GHSA-wpqc-h9wp-chmq)

影响组件：npm包 n8n

受影响版本：>= 0.123.1, < 1.119.2

已修复版本：1.119.2

严重等级：严重 (CVSS评分：9.4)

影响分析

n8n的Git节点允许工作流通过“添加配置”操作设置任意的Git配置值。当攻击者控制的工作流将core.hooksPath设置为克隆仓库中包含Git钩子（例如pre-commit）的目录时，Git会在后续的Git操作期间执行该钩子。由于Git钩子以本地系统命令的形式运行，此行为可能导致在底层的n8n宿主机上执行任意命令。

成功利用此漏洞需要具备创建或修改使用Git节点的n8n工作流的能力。

解决方案

补丁更新：此问题已在n8n版本1.119.2中修复。所有运行受影响版本的用户应升级到1.119.2或更高版本。

临时缓解措施：如果无法立即升级，可以采用以下缓解措施降低风险：

排除Git节点的使用（参考相关文档）。
避免使用Git节点克隆或与不受信任的仓库进行交互。

CVSS v4 基准指标

攻击向量：网络
攻击复杂度：低
所需权限：低
用户交互：无
影响：对脆弱系统和后续系统的机密性、完整性、可用性均造成高影响

完整CVSS v4向量：CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H