Reanudación de chat de agente entre usuarios: qué dice el aviso de septiembre de 2026
Qué dice el aviso de GitHub del 30 de septiembre de 2026 sobre la vulnerabilidad de reanudación de chat de agente entre usuarios y qué hacer ahora.
Comprobado con las fuentes citadas el .
Actualizaciones
El 30 de septiembre de 2026, un aviso de seguridad de GitHub anunció una vulnerabilidad de reanudación de chat de agente entre usuarios que afecta al paquete npm de n8n. El aviso, titulado "Cross-User Agent Chat Resume Allows Hijacking Another User's Pending Tool Approval", es la fuente principal de todo lo que este artículo afirma sobre el problema.
Aquí cubrimos únicamente lo que el propio aviso dice sobre esta vulnerabilidad de seguridad del chat de agentes: qué cambió, a quién afecta según el número de versión, y qué establece el aviso como solución y como medidas temporales. Donde el aviso guarda silencio, por ejemplo sobre n8n Cloud u otros planes alojados, lo decimos claramente en lugar de suponerlo.
Qué se anunció y cuándo
El aviso se publicó en github.com el 30 de septiembre de 2026, bajo un título que nombra directamente el problema de reanudación de chat de agente entre usuarios. Describe un fallo en la forma en que un proyecto compartido de n8n gestiona una conversación de agente en pausa que espera que una persona apruebe una llamada a una herramienta.
El aviso documenta este fallo de reanudación de chat de agente de IA como un vacío de autorización: el sistema no verifica que el usuario que reanuda un chat sea el mismo usuario que lo inició, en un proyecto compartido por varias personas.
Cómo la vulnerabilidad permite secuestrar una aprobación de herramienta pendiente
Según el aviso, un atacante que tenga acceso a un proyecto compartido puede leer por completo la conversación privada de agente de otro usuario. Una vez dentro de esa conversación, el atacante puede responder a una aprobación pendiente en nombre de la víctima, permitiendo que la herramienta se ejecute y escribiendo su resultado de vuelta en el propio hilo de conversación de la víctima.
Nos parece que esto es un recordatorio útil de que un paso de aprobación humana solo es tan sólido como la verificación de identidad que lo rodea; una puerta de aprobación que cualquiera en un espacio de trabajo compartido puede pulsar no es realmente una puerta. El propio aviso enmarca la exposición como el secuestro de una aprobación de herramienta pendiente que nunca debió poder responder nadie salvo quien la solicitó originalmente.
A quién y a qué versiones afecta
El aviso indica que el paquete npm de n8n se ve afectado en versiones anteriores a la 2.42.0 y anteriores a la 2.41.4. Este problema de reanudación de chat de agente entre usuarios se aplica, por tanto, a cualquiera que ejecute una de esas versiones anteriores con varios usuarios compartiendo acceso a nivel de proyecto a agentes que usan aprobación de herramientas.
| Estado | Rango de versiones | Qué dice el aviso |
|---|---|---|
| Afectada | Anteriores a 2.42.0 y anteriores a 2.41.4 | Listadas como vulnerables al problema de reanudación de chat entre usuarios |
| Corregida | 2.42.0 y 2.41.4 | Listadas como las versiones en las que se corrige el problema |
Qué hacer ahora: parche y medidas temporales
El aviso indica que el problema se ha corregido en las versiones 2.42.0 y 2.41.4 de n8n, y dice a los usuarios que actualicen a una de esas versiones o posterior. Esa actualización es la única solución que el aviso recomienda realmente.
Para los equipos que no puedan actualizar de inmediato, el aviso enumera varias mitigaciones temporales: desactivar el módulo de Agentes mediante el ajuste N8N_ENABLED_MODULES, restringir el acceso a la instancia a usuarios de confianza, limitar quién pertenece a un proyecto compartido, y evitar herramientas con "Require approval" activado en agentes a los que puedan acceder varias personas.
A nuestro juicio, aquí importa la propia advertencia del aviso: dice claramente que estas medidas no resuelven del todo el riesgo, por lo que no confiaríamos en ninguna de ellas por separado y trataríamos la actualización como la solución real, no como algo opcional.
Lo que el anuncio no indica
El aviso no dice si n8n Cloud u otros planes alojados están afectados; esa cuestión simplemente no se aborda en el texto revisado. Tampoco explica cuánto tiempo existió el problema antes de ser descubierto, cuántas instancias quedaron expuestas, ni si alguien lo explotó antes de la corrección.
- Si n8n Cloud u otros planes alojados están afectados
- Si las ediciones Community y Enterprise difieren en su exposición
- Cuánto tiempo existió el fallo antes de ser descubierto
- Si fue explotado antes de que se publicara la corrección
El aviso no indica si se ha asignado un identificador CVE a este problema ni ofrece una puntuación numérica de gravedad; esos detalles no se abordan en los hallazgos revisados. A nuestro juicio, no disponer de un CVE a mano es un inconveniente menor para quienes rastrean vulnerabilidades más que una señal de que el problema sea menos grave, por lo que los equipos que dependen de feeds de CVE deberían seguir este caso por el título del aviso por ahora.
