CVE-2026-25049：n8n 中表达式Sandbox 导致远程代码执行

2026年2月，一款被广泛采用的开源工作流自动化平台n8n中被公开披露了一个关键的沙箱逃逸漏洞。该漏洞编号为CVE-2026-25049，可使经过身份验证的用户绕过表达式评估沙箱，并在主机服务器上执行任意系统命令，从而实现完整的远程代码执行，其CVSS v3.1评分为9.9。

OPSWAT 研究员计划的一部分，我们的研究员对CVE-2026-25049进行了全面的技术分析，深入探讨了其根本原因、利用机制以及对组织的影响。

本文详细剖析了该漏洞——从 n8n 的表达式处理架构及其分层安全控制机制，到能够同时突破全部五层防御的具体技术手段。

CVE-2026-25049 是 n8n 中一个严重的表达式沙箱逃逸漏洞，归类于 CWE-913：对动态管理代码资源的控制不当。 该漏洞影响 n8n 1.123.17 之前的所有版本，以及 2.0.0 至 2.5.1 版本，已在 1.123.17 和 2.5.2 版本中修复。该漏洞允许具有工作流创建权限的经过身份验证的用户构造恶意 JavaScript 表达式，从而绕过平台的表达式沙箱，最终在主机服务器上实现任意命令执行。

n8n 是一个开源的工作流自动化平台，可帮助组织连接系统、自动化流程，并在数百种服务之间构建集成。凭借广泛的采用和超过 1,300 种可用的集成方案，n8n 已成为该领域最受欢迎的工具之一，被开发团队和企业广泛用于自动化各类任务，从内部工具到业务关键型数据管道无所不包。

抽象语法树（AST）是解析器生成的源代码的一种分层表示形式。与将代码视为扁平字符串不同，AST 将其分解为结构化的节点，这些节点分别代表其语法元素——变量声明、函数表达式、成员表达式、标识符和字面量。

了解 AST 节点类型对于本次分析至关重要，因为 n8n 的安全控制是在 AST 层级运行的。清理器会检查特定的节点类型，以检测并阻止危险模式。该漏洞利用了这样一个事实：相同的语义操作（访问对象的属性）可能会根据所使用的 JavaScript 语法产生完全不同的 AST 节点类型。

n8n 的架构分为五个层：前端、命令行界面 (CLI)、Core、工作流和节点。工作流层负责表达式的求值，而这正是与该漏洞相关的组件。

n8n 允许用户在工作流节点参数中嵌入 JavaScript 表达式，以动态操作数据。这些表达式在服务器端通过一个名为 Tournament 的库进行求值，该库会在执行前将表达式解析为抽象语法树（AST）。数据净化钩子会直接注入到 Tournament 的创建过程中，在构建 AST 时执行检查，从而在任何代码执行之前拦截危险模式。

由于这些表达式与 n8n 服务器运行在同一个 Node.js 进程中，该平台实现了五层独立的安全防护机制，旨在防止不可信代码逃离沙箱。

第1层 - 全局上下文覆盖

在评估任何表达式之前，n8n 会通过覆盖危险的全局对象和函数来创建一个受限的执行环境。诸如 document、window、globalThis、eval、setTimeout、setInterval 和 Function 等属性会被替换为空对象，从而阻止直接访问这些功能。

这种方法存在一个固有的局限性：如果攻击者能够逃离受限上下文并访问真正的全局进程对象，那么被覆盖的属性就变得无关紧要了。

第 2 层 - 正则表达式验证

在表达式到达求值器之前，n8n 会对原始表达式字符串进行正则表达式检查，以阻止对构造函数属性的访问——这是获取 Function 构造函数并实现代码执行的常见途径。

正则表达式/\.\s*constructor/gm可检测对.constructor 的点表示法访问。然而，这种检查存在根本性的局限性，因为 JavaScript 提供了多种语法路径来访问同一属性，而并非所有路径都涉及点表示法。

第 3 层 - AST 运行时检查器 – PrototypeSanitizer

最复杂的防御机制在 AST 构建过程中发挥作用。PrototypeSanitizer 钩子会遍历 AST，并检查 MemberExpression 节点，以确定被访问的属性是否出现在不安全对象属性的黑名单中——包括 constructor、__proto__、prototype、mainModule 和 binding。

该净化器处理三种情况：点表示法（obj.prop），此时它会检查标识符名称；静态方括号表示法（obj['prop']），此时它会检查字符串字面量值；以及动态表达式，这些表达式会被封装在运行时净化器函数中。如图 10 所示，仅检查 MemberExpression 节点——不会遍历解构模式。

第 4 层 - AST 运行时检查器 FunctionThisSanitizer

作为针对 CVE-2025-68613 的直接补丁，FunctionThisSanitizer 会拦截立即调用函数表达式（IIFE），并将其重写为将 `this` 绑定到一个空对象。这可以防止原始漏洞利用中采用的技术——即通过(function(){ return this })()利用未绑定的 `this` 引用泄露全局进程对象。

该漏洞利用技术结合了这两个漏洞，同时突破了所有安全层。我们的同事追踪到了以下攻击路径：

步骤 1 - 箭头函数输入。有效载荷以一个包裹在立即调用函数表达式（IIFE）中的箭头函数开头：

={{(() => {
// 箭头函数—— 绕过 FunctionThisSanitizer
...
})()}}

该 FunctionThisSanitizer 会检查被调用者是否为 FunctionExpression；由于这是一个 ArrowFunctionExpression，因此该净化器会在不重写调用操作的情况下提前返回。箭头函数在执行时能够完全访问真实的全局上下文。

步骤 2 - 解构绕过。在箭头函数内部，解构操作会从箭头函数实例中提取出 Function 构造函数：

const { constructor } = () => {};

由于这是一次解构赋值，AST 中包含的是 ObjectPattern 节点，而非 MemberExpression。正则表达式检查未发现 .constructor 模式，且 PrototypeSanitizer 从未检查过属性名称。此时，攻击者已持有对 Function 构造函数的引用。

步骤 3 - 动态代码执行。获取 Function 构造函数后，攻击者构建并执行任意代码：

return constructor(
'return process.mainModule.require("child_process").execSync("whoami").toString()',
)();

该动态构建的函数在沙箱环境之外运行，并能完全访问 Node.js 进程对象，从而能够在主机上执行任意系统命令。

为了展示该漏洞在实际环境中的影响，我们的研究员在受控的实验室环境中重现了该漏洞利用过程。攻击场景包括部署一个存在漏洞的 n8n 实例，并导入一个在节点参数中包含恶意有效载荷的工作流——该攻击专门针对允许表达式评估的“编辑字段”节点。

一旦工作流被触发，有效载荷便会绕过全部五个安全过滤层，并在主机服务器上执行反向shell，从而使攻击者获得完整的命令执行权限。

通过利用OPSWAT ，企业能够快速识别其基础设施中存在漏洞的 n8n 组件，并在漏洞遭到利用之前采取应对措施。作为 MetaDefender® 平台的基础技术OPSWAT 可全面盘点企业环境中正在使用的所有软件组件、库及依赖项。