Inyección en filtros OData de n8n: aviso sobre Outlook y SharePoint
Qué indica el aviso de inyección en filtros OData de n8n del 14 de octubre de 2026 sobre operaciones afectadas, versiones corregidas y mitigación temporal.
Comprobado con las fuentes citadas el .
Qué anunció el aviso de inyección en filtros OData de n8n
El aviso de inyección en filtros OData de n8n publicado el 14 de octubre de 2026 anuncia que hay correcciones disponibles y recomienda a los usuarios afectados actualizar. El aviso GHSA-mgpr-56r4-5c67 trata sobre valores de filtros OData sin escapar en la búsqueda de contactos de Microsoft Outlook y la actualización de elementos de Microsoft SharePoint v1.
La actualización de seguridad de n8n para Outlook y SharePoint es relevante cuando los flujos de trabajo incorporan entradas no fiables en los campos afectados. La fecha de publicación identifica el anuncio; no establece cuándo comenzó la explotación ni cuándo estuvieron disponibles las correcciones por primera vez.
Qué operaciones y entradas requieren atención
El aviso describe dos posibles consecuencias de la inyección de consultas OData: Outlook puede devolver toda la lista de contactos del buzón vinculado y SharePoint puede escribir los valores enviados en un elemento de lista no previsto. Ambas acciones permanecen dentro del alcance de la credencial almacenada. Son consecuencias de la vulnerabilidad descritas en el anuncio, no pruebas de explotación.
Para los equipos que revisan la vulnerabilidad de Microsoft Outlook en n8n y los flujos afectados de Microsoft SharePoint v1, el siguiente inventario es nuestra propuesta para priorizar la revisión; no permite determinar que un flujo sea seguro.
Actualiza a una de las versiones corregidas indicadas
Para la inyección en filtros OData de n8n, el aviso enumera correcciones en las versiones 1.123.85, 2.44.1 y 2.43.5 y recomienda actualizar a una de esas versiones o a una posterior. No identifica los canales de lanzamiento de esas ramas de versiones ni proporciona comandos de actualización o procedimientos de verificación específicos para cada despliegue.
Consideramos que la prioridad práctica es asignar un responsable claro a la actualización e incluir la revisión de los flujos en la misma respuesta. Utilizaríamos el inventario para organizar ese trabajo, en lugar de considerar la inspección de entradas como un sustituto de la aplicación de parches.
Si la actualización inmediata debe esperar
El aviso incluye entre sus medidas temporales de mitigación la desactivación de los flujos afectados hasta que se aplique el parche a la instancia. Advierte expresamente de que las soluciones provisionales no eliminan por completo el riesgo y no especifica pasos de recuperación operativa ni una alternativa completa de corrección.
En nuestra opinión, una medida temporal de mitigación debe tener un responsable designado y un plan explícito para llegar a una versión corregida. Llamarla temporal debe describir una decisión que el equipo volverá a evaluar, no una forma de operar indefinidamente.
Qué aspectos no especifica el anuncio
El aviso de inyección en filtros OData de n8n no indica si las instancias de n8n Cloud reciben los parches automáticamente, no distingue entre ediciones o planes alojados ni describe un impacto más amplio. Tampoco cuantifica las instalaciones afectadas ni la frecuencia de explotación. Los equipos no deben deducir esos detalles de este anuncio.
Nuestra sugerencia editorial es registrar las preguntas pendientes sobre el despliegue junto con el responsable de la corrección. Este artículo explica el anuncio y las opciones de respuesta inmediata; no es un procedimiento de actualización o resolución de problemas específico para un despliegue.
