مشاهده توییت های دیگر

باگ CVE-2025-68613 با اسکور ۹.۹ نشون داد که چرا Isolation توی Runtime همه‌چیزه. مشکل اینجاست که Expressionهای تعریف شده توسط یوزر، به‌جای محیط قرنطینه یا همون Sandboxed، مستقیما توی Context اصلی سیستم اجرا می‌شدن. یعنی یک اتکر با دسترسی Authenticated می‌تونه با امتیازات پروسسِ n8n، روی کل سیستم عامل کد اجرا کنه (ACE).

با ۵۷ هزار دانلود هفتگی در npm، این فقط یه حفره ساده نیست، یه تهدید Supply Chain جدیه. وقتی ابزاری دسترسی روتین به دیتابیس‌ها، کلیدهای API و دیتای حساس سازمان داره، اکسپلویت کردنش یعنی دسترسی به تمام شریان‌های حیاتی. طبق آمار Censys بیش از ۱۰۰ هزار اینستنس بالا هستن که بخش بزرگی‌شون هنوز پچ نشدن.

امنیت توی ابزارهای Low-code نباید فدای راحتی پیاده‌سازی بشه. اگه امکان آپدیت سریع به ورژن 1.120.4 یا بالاتر رو ندارید، حتما دسترسی‌های Workflow Creation رو به حداقل برسونید و محیط اجرا رو با محدود کردن OS Privileges قرنطینه کنید. اتوماسیون بدون ایزولاسیون، یعنی دعوت‌نامه رسمی برای نفوذ به زیرساخت سازمانتون.