Usuarios de Chat Hub con acceso solo al chat: aviso de seguridad de n8n del 14 de octubre
Qué dice el aviso de n8n del 14 de octubre de 2026 sobre usuarios de Chat Hub con acceso solo al chat, versiones afectadas, correcciones y mitigación.
Comprobado con las fuentes citadas el .
Qué reveló el anuncio sobre Chat Hub
Los usuarios de Chat Hub con acceso solo al chat son el objeto del aviso de seguridad GHSA-43v8-hjhm-chjp, publicado por n8n el 14 de octubre de 2026. El anuncio revela una vulnerabilidad de permisos y correcciones publicadas; no presenta una funcionalidad prevista para estos usuarios. El aviso no indica cuándo comenzó el comportamiento vulnerable.
El problema afecta a usuarios con el rol de usuario de chat, que no pueden crear ni editar flujos de trabajo, pero podían superar los límites de su rol mediante herramientas. Creemos que la distinción clave está en los permisos: un rol de chat restringido debe evaluarse tanto por lo que puede invocar como por lo que puede editar.
Tipos de herramientas de Chat Hub y límites del sandbox
Según el aviso, los usuarios de Chat Hub con acceso solo al chat podían añadir y ejecutar herramientas que ejecutan código en el sandbox del task runner, acceder a archivos dentro de los directorios permitidos por n8n o utilizar flujos de trabajo, Data Tables y agentes de la instancia. Estas son las capacidades descritas en la divulgación, no pruebas de que los clientes experimentaran esas acciones.
La divulgación sobre el sandbox de Chat Hub no demuestra que se pudiera escapar del sandbox ni indica la frecuencia de explotación.
Correcciones publicadas y qué deben hacer ahora los administradores
Para los equipos que administran instancias con usuarios de chat, n8n recomienda actualizar a una versión corregida o posterior. Su aviso del 14 de octubre de 2026 enumera las siguientes expresiones de versiones afectadas y sus correcciones, sin asignarles etiquetas de canales de lanzamiento.
| Expresión de versiones afectadas | Corrección publicada |
|---|---|
| < 1.123.85 | 1.123.85 |
| < 2.43.5 | 2.43.5 |
| < 2.44.1 | 2.44.1 |
Si los administradores no pueden actualizar de inmediato, el aviso incluye desactivar temporalmente Chat Hub cuando no sea necesario. Advierte expresamente de que sus medidas provisionales no subsanan por completo el riesgo. Este artículo aborda esa única medida temporal, en lugar de la lista completa de medidas provisionales.
Nuestra recomendación práctica es asignar a un administrador la responsabilidad de comparar la versión desplegada con las correcciones publicadas y organizar la actualización. Como sugerencia editorial adicional, revisad qué capacidades de las herramientas quiere el equipo que tengan los usuarios de chat; esa revisión es independiente de la solución indicada en el aviso.
Qué deja sin especificar el aviso
El anuncio no especifica qué ediciones están cubiertas, cómo se gestionan otras ediciones o planes alojados, el estado de los parches en n8n Cloud ni las medidas específicas para cada despliegue. Tampoco proporciona comandos de actualización, procedimientos de verificación ni un procedimiento para desactivar Chat Hub. Esos detalles no deben deducirse de la lista de versiones.
Como sugerencia editorial adicional, preguntad cómo se comprobará que la actualización se ha completado.
