هشدار فوری به تمام کاربران n8n: در ۲۴ ساعت گذشته، تیم n8n یک بهروزرسانی امنیتی حیاتی را به صورت اضطراری منتشر کرده است. این آپدیت، که شامل نسخههای 1.120.2 و 1.119.2 است، برای رفع یک آسیبپذیری جدی با شناسه CVE-2025-12735 منتشر شده است1. این آسیبپذیری در یک کتابخانه اصلی پلتفرم شناسایی شده و میتواند منجر به خطرات امنیتی قابل توجهی شود222. اگر از n8n استفاده میکنید، این خبر مستقیماً به امنیت دادهها و اتوماسیونهای شما مرتبط است.
📊 جدول تحلیلی: جزئیات هشدار امنیتی n8n (۱۴ نوامبر ۲۰۲۵)
این جدول، خلاصهی وضعیت و اقدامات لازم را نشان میدهد:
| ویژگی | جزئیات فنی (بر اساس اسناد رسمی) |
| شناسه آسیبپذیری | CVE-2025-12735 3333 |
| جزء آسیبپذیر | کتابخانه هسته expr-eval (مورد استفاده برای ارزیابی عبارات) 4 |
| نسخههای پچ منتشر شده | 1.120.2 و 1.119.2 555 |
| خطر بالقوه | اجرای کد از راه دور (RCE) یا دسترسی غیرمجاز به دادهها 6 |
| اقدام لازم (Self-Hosted) | بهروزرسانی فوری و اجباری به نسخههای پچ شده 7 |
| وضعیت (Cloud Users) | پچ به صورت خودکار اعمال شده است؛ پایش پایداری توصیه میشود 8 |
انتشار اضطراری: نسخههای 1.120.2 و 1.119.2 منتشر شدند
در اقدامی سریع و حیاتی در ۱۴ نوامبر ۲۰۲۵، تیم n8n به طور رسمی نسخههای 1.120.2 و 1.119.2 را منتشر کرد. این یک بهروزرسانی برنامهریزیشده عادی نبود، بلکه یک انتشار اضطراری با هدف مستقیم رفع یک حفره امنیتی جدی بود.
تمرکز بر امنیت به جای ویژگیهای جدید
برخلاف چرخههای انتشار معمول که بر افزودن ویژگیهای جدید (مانند AI Agents) تمرکز دارند، این نسخهها منحصراً به عنوان پچ امنیتی (Security Patch) منتشر شدهاند. اسناد انتشار (Release Notes) به وضوح نشان میدهند که هدف اصلی این نسخهها، رفع یک آسیبپذیری حیاتی بوده است.
پوشش هر دو سری نسخههای اصلی
تیم n8n با انتشار همزمان پچ برای هر دو سری اصلی (1.120.x و 1.119.x) تضمین کرده است که کاربرانی که هنوز به آخرین نسخه اصلی مهاجرت نکردهاند نیز بتوانند به سرعت زیرساخت خود را ایمن کنند.
تحلیل آسیبپذیری CVE-2025-12735
اهمیت این بهروزرسانی اضطراری در ماهیت آسیبپذیری کشفشده نهفته است. این پچ مستقیماً آسیبپذیری CVE-2025-12735 را هدف قرار میدهد که در یک کتابخانه ثالث مورد استفاده توسط n8n شناسایی شده است.
آسیبپذیری در کتابخانه هسته expr-eval
بر اساس اسناد فنی منتشر شده در GitHub، این آسیبپذیری در کتابخانه ثالث expr-eval وجود داشته است. این کتابخانه بخش مهمی از هسته n8n است، زیرا برای ارزیابی عبارات (expressions) و مدیریت جریان دادهها بین نودهای مختلف در یک ورکفلو استفاده میشود.
خطرات بالقوه: از اجرای کد از راه دور (RCE) تا دسترسی به دادهها
یک آسیبپذیری در این سطح از هسته پلتفرم بسیار جدی تلقی میشود. اگرچه جزئیات کامل اکسپلویت به دلایل امنیتی فاش نشده است، اما حفرهای در کتابخانهای که عبارات را ارزیابی میکند، به طور بالقوه میتواند منجر به اجرای کد از راه دور (RCE) یا دسترسی غیرمجاز به دادهها در ورکفلوها شود. رفع این آسیبپذیری یک اقدام امنیتی حیاتی و با اولویت بالا بوده است.
توصیههای فوری برای کاربران n8n
با توجه به ماهیت حیاتی این آسیبپذیری، اقدامات متفاوتی برای کاربران Self-Hosted و کاربران Cloud توصیه میشود.
اقدام فوری برای کاربران Self-Hosted: بهروزرسانی همین حالا
توصیه برای تمام کاربرانی که از نسخههای نصب شخصی (Self-Hosted) n8n استفاده میکنند، کاملاً واضح و فوری است: فوراً به نسخه 1.120.2 (یا 1.119.2 اگر در آن سری هستید) بهروزرسانی کنید. آسیبپذیری CVE-2025-12735 جدی است و نباید نادیده گرفته شود.
کاربران Cloud: آگاهی از پچ خودکار (و مشکلات پایداری مرتبط)
کاربران نسخه ابری (Cloud) نیازی به اقدام دستی برای پچ کردن ندارند، زیرا زیرساخت n8n به طور خودکار برای رفع این آسیبپذیری حیاتی بهروزرسانی میشود. با این حال، کاربران Cloud باید از مشکلات پایداری گزارششده در ۲۴ ساعت گذشته (مانند گیر کردن ورکفلوها یا عدم دسترسی به پلتفرم) آگاه باشند. این مشکلات به احتمال زیاد عوارض جانبی کوتاهمدت انتشار اضطراری این پچ امنیتی هستند. توصیه میشود ورکفلوهای حیاتی (mission-critical) خود را به دقت پایش کنید.
جمعبندی: امنیت بر پایداری کوتاهمدت اولویت دارد
انتشار اضطراری پچهای امنیتی برای رفع CVE-2025-12735، اقدامی ضروری و مسئولانه از سوی تیم n8n بود. اگرچه این اقدام منجر به ناپایداریهای کوتاهمدت در پلتفرم Cloud شد ، اما اولویت مطلق، رفع یک آسیبپذیری حیاتی بود که میتوانست منجر به اجرای کد از راه دور شود. توصیه برای کاربران self-hosted واضح است: فوراً بهروزرسانی کنید. کاربران Cloud باید ضمن اطمینان از رفع مشکل امنیتی، ورکفلوهای حیاتی خود را برای هرگونه اختلال موقت پایش کنند.
سوالات متداول (FAQs)
آسیبپذیری CVE-2025-12735 چیست؟
این یک آسیبپذیری امنیتی حیاتی در کتابخانه ثالث expr-eval است که n8n از آن برای ارزیابی عبارات در ورکفلوها استفاده میکند. این حفره به طور بالقوه میتواند منجر به اجرای کد از راه دور (RCE) شود.
من از n8n Cloud استفاده میکنم. آیا باید کاری انجام دهم؟
خیر، زیرساخت ابری به طور خودکار توسط تیم n8n پچ شده است. با این حال، به دلیل گزارشهایی مبنی بر «گیر کردن» ورکفلوها پس از این آپدیت اضطراری، توصیه میشود پایداری اتوماسیونهای حیاتی خود را بررسی کنید.
من از نسخه Self-Hosted (نصب شخصی) n8n استفاده میکنم. چه باید بکنم؟
شما باید فوراً نمونه n8n خود را به آخرین نسخه پچ شده (1.120.2 یا 1.119.2) بهروزرسانی کنید تا از این آسیبپذیری جدی محافظت شوید.
چرا دو نسخه (1.120.2 و 1.119.2) به طور همزمان منتشر شدند؟
این اقدام برای اطمینان از این بود که کاربرانی که در سریهای مختلف انتشار n8n قرار دارند (چه سری 1.119 یا سری جدیدتر 1.120)، همگی بتوانند به سرعت پچ امنیتی را دریافت و نصب کنند.
