CVE-2026-25049: Sandbox للتعبيرات مما يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد في n8n

في فبراير 2026، تم الكشف علنًا عن ثغرة أمنية خطيرة تتعلق بالهروب من بيئة الحماية (sandbox) في n8n، وهي منصة مفتوحة المصدر شائعة الاستخدام لأتمتة سير العمل. تتيح هذه الثغرة، التي تم تسجيلها تحت الرمز CVE-2026-25049، للمستخدمين المصادق عليهم تجاوز بيئة الحماية الخاصة بتقييم التعبيرات وتنفيذ أوامر نظامية عشوائية على الخادم المضيف، مما يتيح تنفيذ كامل للرموز عن بُعد، مع درجة CVSS v3.1 تبلغ 9.9.

في إطار برنامج زمالةOPSWAT ، أجرى زملاؤنا تحليلاً تقنياً شاملاً للثغرة الأمنية CVE-2026-25049، حيث درسوا أسبابها الجذرية وآلية استغلالها وتأثيرها على المؤسسات.

تقدم هذه المدونة شرحًا تفصيليًا لهذه الثغرة الأمنية — بدءًا من بنية معالجة التعبيرات في n8n وضوابط الأمان المتعددة المستويات الخاصة بها، وصولاً إلى التقنية المحددة التي تتغلب على جميع الطبقات الدفاعية الخمس في آن واحد.

CVE-2026-25049 هي ثغرة أمنية خطيرة تسمح بالهروب من بيئة الحماية (sandbox escape) في n8n، وهي مصنفة تحت CWE-913: التحكم غير السليم في موارد الكود المدارة ديناميكيًا. يؤثر هذا الخلل على جميع إصدارات n8n السابقة للإصدار 1.123.17، بالإضافة إلى الإصدارات من 2.0.0 إلى 2.5.1، وقد تم إصلاحه في الإصدارين 1.123.17 و2.5.2. وهو يتيح للمستخدمين المعتمدين الذين يمتلكون أذونات إنشاء سير العمل صياغة تعبيرات JavaScript ضارة تتجاوز صندوق الحماية الخاص بالتعبيرات في المنصة، مما يؤدي في النهاية إلى تنفيذ أوامر تعسفية على الخادم المضيف.

n8n هي منصة مفتوحة المصدر لأتمتة سير العمل تتيح للمؤسسات ربط الأنظمة وأتمتة العمليات وإنشاء عمليات تكامل عبر مئات الخدمات. وبفضل انتشارها الواسع وتوفر أكثر من 1,300 عملية تكامل، أصبحت n8n واحدة من أكثر أدوات شيوعًا أدوات فئتها، حيث تستخدمها فرق التطوير والمؤسسات لأتمتة كل شيء بدءًا من الأدوات الداخلية وصولاً إلى مسارات البيانات الحيوية للأعمال.

شجرة الصياغة المجردة (AST) هي تمثيل هرمي للكود المصدري ينتجه محلل لغوي. فبدلاً من التعامل مع الكود كسلسلة نصية مسطحة، تقوم شجرة الصياغة المجردة بتفكيكه إلى عقد منظمة تمثل عناصره النحوية — إعلانات المتغيرات، وتعبيرات الدوال، وتعبيرات العناصر، والمعرفات، والقيم الثابتة.

يعد فهم أنواع عقد شجرة التحليل الدرامي (AST) أمرًا ضروريًا لهذا التحليل، لأن ضوابط الأمان في n8n تعمل على مستوى شجرة التحليل الدرامي. حيث تقوم أدوات التنقية بفحص أنواع محددة من العقد للكشف عن الأنماط الخطيرة وحجبها. وتستغل هذه الثغرة حقيقة أن العملية الدلالية نفسها — وهي الوصول إلى خاصية كائن ما — يمكن أن تنتج أنواعًا مختلفة تمامًا من عقد شجرة التحليل الدرامي، اعتمادًا على صيغة لغة جافا سكريبت المستخدمة.

تنقسم بنية n8n إلى خمس طبقات: الواجهة الأمامية، وواجهة سطر الأوامر (CLI)، Core وسير العمل، والعقد. تتولى طبقة سير العمل تقييم التعبيرات، وهي المكون ذو الصلة بهذه الثغرة الأمنية.

يتيح n8n للمستخدمين تضمين تعبيرات JavaScript ضمن معلمات عقد سير العمل لمعالجة البيانات ديناميكيًا. يتم تقييم هذه التعبيرات من جانب الخادم باستخدام مكتبة تُسمى Tournament، والتي تقوم بتحليل التعبيرات إلى شجرة تركيبية (AST) قبل التنفيذ. يتم إدراج خطافات التنقية مباشرةً في عملية إنشاء Tournament، حيث تُجرى عمليات الفحص أثناء بناء شجرة التركيب (AST) لاعتراض الأنماط الخطرة قبل تنفيذ أي كود.

ونظرًا لأن هذه التعبيرات تُنفَّذ ضمن نفس عملية Node.js التي يعمل بها خادم n8n، فإن المنصة تطبق خمس طبقات أمان متميزة مصممة لمنع أي شفرة غير موثوق بها من الخروج من بيئة الحماية.

الطبقة 1 - استبدال السياق العام

قبل تقييم أي تعبير، يقوم n8n بإنشاء سياق تنفيذ مقيد عن طريق استبدال الكائنات والوظائف العالمية الخطرة. ويتم استبدال الخصائص مثل document وwindow وglobalThis وeval وsetTimeout وsetInterval وFunction بكائنات فارغة، مما يمنع الوصول المباشر إلى هذه الإمكانيات.

يحتوي هذا النهج على قيد متأصل: فإذا تمكن المهاجم من الخروج من السياق المقيد والوصول إلى كائن العملية العام الحقيقي، تصبح الخصائص التي تم استبدالها غير ذات صلة.

الطبقة الثانية - التحقق من صحة التعبيرات النمطية

قبل أن يصل التعبير إلى المُقيِّم، يقوم n8n بإجراء فحص للتعبيرات النمطية على سلسلة التعبير الأولية لمنع الوصول إلى خاصية المُنشئ — وهي وسيلة شائعة للحصول على مُنشئ الدالة وتنفيذ التعليمات البرمجية.

يكتشف التعبير النمطي /\.\s*constructor/gm الوصول إلى .constructor باستخدام صيغة النقطة. ومع ذلك، فإن هذا الفحص محدود بشكل أساسي لأن لغة جافا سكريبت توفر مسارات نحوية متعددة للوصول إلى نفس الخاصية، ولا تتضمن جميعها صيغة النقطة.

الطبقة 3 - أداة تنقية وقت التشغيل AST – PrototypeSanitizer

يتم تفعيل آلية الحماية الأكثر تطوراً أثناء إنشاء AST. حيث يتنقل خطاف PrototypeSanitizer عبر AST ويفحص عقد MemberExpression لتحديد ما إذا كانت الخاصية التي تم الوصول إليها مدرجة في قائمة حظر خصائص الكائنات غير الآمنة — بما في ذلك constructor و__proto__ وprototype وmainModule وbinding.

يعالج المُعقِّم ثلاث حالات: الترميز بالنقطة (obj.prop) حيث يتحقق من اسم المُعرِّف، والترميز بالأقواس الثابتة (obj['prop']) حيث يتحقق من قيمة السلسلة الحرفية، والتعبيرات الديناميكية التي يتم تغليفها في دالة مُعقِّم وقت التشغيل. وكما هو موضَّح في الشكل 10، لا يتم فحص سوى عقد MemberExpression - ولا يتم استعراض أنماط تفكيك البنية.

الطبقة 4 - وظيفة "Sanitizer" في بيئة تشغيل AST: ThisSanitizer

تمت إضافة FunctionThisSanitizer كرقعة مباشرة لمعالجة الثغرة CVE-2025-68613، حيث تعمل على اعتراض تعبيرات الدالة التي يتم استدعاؤها فورًا (IIFEs) وإعادة كتابتها لربط المتغير this بكائن فارغ. ويمنع ذلك التقنية المستخدمة في الاستغلال الأصلي، حيث كان التعبير (function(){ return this })() يتسبب في تسريب كائن العملية العام من خلال مرجع this غير المربوط.

يستغل هذا الثغرة الأمنية كلا الثغرتين لاختراق كل طبقات الحماية في آن واحد. وقد تمكن زملاؤنا من تتبع مسار الاستغلال التالي:

الخطوة 1 - إدخال دالة السهم. تبدأ الحمولة بدالة سهم محاطة بتعبير دالة يتم استدعاؤها فورًا (IIFE):

={{(() => {
// دالة السهم - تتجاوز FunctionThisSanitizer
...
})()}}

تتحقق دالة FunctionThisSanitizer مما إذا كان العنصر الذي يتم استدعاؤه هو تعبير دالة (FunctionExpression)؛ ونظرًا لأن هذا تعبير دالة سهمية (ArrowFunctionExpression)، فإن أداة التنقية تعود مبكرًا دون إعادة كتابة الاستدعاء. وتُنفَّذ الدالة السهمية مع وصول كامل إلى السياق العام الحقيقي.

الخطوة 2 - تجاوز عملية تفكيك البنية. داخل الدالة السهمية، تعمل عملية تفكيك البنية على استخراج مُنشئ الدالة من مثيل الدالة السهمية:

const { constructor } = () => {};

نظرًا لأن هذه عملية تعيين تفكيك، فإن شجرة التحليل البنيوي (AST) تحتوي على عقدة ObjectPattern بدلاً من MemberExpression. ولا يكتشف فحص التعبير النمطي أي نمط .constructor، كما أن أداة PrototypeSanitizer لا تتحقق أبدًا من اسم الخاصية. وبذلك يصبح المهاجم حاملًا لمُشير إلى مُنشئ الدالة.

الخطوة 3 - تنفيذ التعليمات البرمجية الديناميكية. بعد الحصول على مُنشئ الدالة، يقوم المهاجم بإنشاء وتنفيذ تعليمات برمجية عشوائية:

return constructor(
'return process.mainModule.require("child_process").execSync("whoami").toString()',
)();

تُنفَّذ الدالة المُنشأة ديناميكيًا خارج سياق "صندوق الرمل" مع وصول كامل إلى كائن عملية Node.js، مما يتيح تنفيذ أوامر نظامية عشوائية على المضيف.

ولإثبات التأثير الفعلي لهذه الثغرة الأمنية، قام زملاؤنا بإعادة إنتاج الاستغلال في بيئة مختبرية خاضعة للرقابة. ويتضمن سيناريو الهجوم استضافة مثيل n8n معرض للخطر واستيراد سير عمل يحتوي على حمولة ضارة ضمن معلمة العقدة - مستهدفًا على وجه التحديد عقدة "تحرير الحقول" (Edit Fields Node)، التي تسمح بتقييم التعبيرات.

بمجرد تشغيل سير العمل، تتجاوز الحمولة جميع طبقات التعقيم الخمس وتُنفِّذ قذيفة عكسية على الخادم المضيف، مما يمنح المهاجم القدرة الكاملة على تنفيذ الأوامر.

من خلال الاستفادة OPSWAT يمكن للمؤسسات تحديد مكونات n8n المعرضة للخطر داخل بنيتها التحتية بسرعة واتخاذ الإجراءات اللازمة قبل وقوع أي استغلال. وتُعد OPSWAT باعتبارها تقنية أساسية ضمن منصة MetaDefender®، بمثابة قائمة شاملة بجميع مكونات البرامج والمكتبات والتبعيات المستخدمة في بيئة المؤسسة.