Ін’єкція у фільтри OData в n8n: повідомлення щодо Outlook і SharePoint
Що повідомлення n8n від 14 жовтня 2026 року про ін’єкцію у фільтри OData каже про вразливі операції, виправлені версії та тимчасове зниження ризику.
Перевірено за наведеними джерелами .
Що оголошено в повідомленні про ін’єкцію у фільтри OData в n8n
Повідомлення про ін’єкцію у фільтри OData в n8n, опубліковане 14 жовтня 2026 року, сповіщає про доступність виправлень і рекомендує користувачам, яких стосується вразливість, оновитися. Повідомлення GHSA-mgpr-56r4-5c67 стосується неекранованих значень фільтрів OData під час пошуку контактів у Microsoft Outlook та оновлення елементів у Microsoft SharePoint v1.
Це оновлення безпеки n8n для Outlook і SharePoint важливе для робочих процесів, які підставляють недовірені вхідні дані у вразливі поля. Дата публікації вказує, коли зроблено оголошення; вона не встановлює, коли почалося використання вразливості або коли виправлення вперше стали доступними.
Які операції та вхідні дані потребують уваги
У повідомленні описано два можливі наслідки ін’єкції в запити OData: Outlook може повернути весь список контактів підключеної поштової скриньки, а SharePoint — записати передані значення в інший елемент списку, ніж передбачалося. Обидві дії залишаються в межах прав збережених облікових даних. Це описані наслідки вразливості, а не свідчення її використання.
Командам, які перевіряють вразливість Microsoft Outlook у n8n та відповідні робочі процеси Microsoft SharePoint v1, ми пропонуємо наведений нижче перелік як спосіб визначити пріоритети перевірки; він не підтверджує безпечність робочого процесу.
Оновіться до однієї із зазначених виправлених версій
Для ін’єкції у фільтри OData в n8n повідомлення вказує виправлення у версіях 1.123.85, 2.44.1 і 2.43.5 та рекомендує оновитися до однієї з цих або новіших версій. Воно не називає канали випуску для цих гілок версій і не наводить команд оновлення чи процедур перевірки для конкретних розгортань.
На нашу думку, практичний пріоритет — призначити відповідального за оновлення та включити перевірку робочих процесів у ті самі заходи реагування. Ми використали б перелік робочих процесів для організації цієї роботи, а не вважали б перевірку вхідних даних заміною встановленню виправлень.
Якщо негайне оновлення доводиться відкласти
Серед тимчасових заходів зниження ризику повідомлення називає деактивацію вразливих робочих процесів до встановлення виправлення на екземплярі n8n. Воно прямо попереджає, що обхідні заходи не усувають ризик повністю, і не визначає кроків відновлення роботи чи повноцінного альтернативного способу усунення вразливості.
На нашу думку, тимчасовий захід має мати призначеного відповідального та чіткий план переходу на виправлену версію. Слово «тимчасовий» має означати рішення, до якого команда повернеться для перегляду, а не безстроковий режим роботи.
Що в оголошенні не уточнено
Повідомлення про ін’єкцію у фільтри OData в n8n не зазначає, чи отримують екземпляри n8n Cloud виправлення автоматично, не розрізняє редакції або тарифні плани хостингу й не описує ширших наслідків. Воно також не наводить кількості вразливих інсталяцій або поширеності використання вразливості. Командам не слід робити висновки про ці деталі на підставі цього оголошення.
Наша редакційна порада — зафіксувати невирішені питання щодо розгортання разом із даними відповідального за усунення вразливості. Ця стаття пояснює оголошення та доступні варіанти негайного реагування; вона не є процедурою оновлення чи усунення несправностей для конкретного розгортання.
