Користувачі Chat Hub лише з доступом до чату: повідомлення n8n про безпеку від 14 жовтня
Що повідомлення n8n від 14 жовтня 2026 року каже про користувачів Chat Hub лише з доступом до чату, уражені версії, виправлення й тимчасовий захід.
Перевірено за наведеними джерелами .
Що розкрито в повідомленні про Chat Hub
Користувачам Chat Hub лише з доступом до чату присвячене повідомлення n8n про безпеку від 14 жовтня 2026 року, GHSA-43v8-hjhm-chjp. У ньому розкрито вразливість у правах доступу та опубліковані виправлення; воно не запроваджує запланованої можливості для цих користувачів. У повідомленні не зазначено, коли виникла вразлива поведінка.
Проблема стосується користувачів із роллю chat user, які не можуть створювати чи редагувати робочі процеси, але могли виходити за межі своєї ролі за допомогою інструментів. На нашу думку, ключова відмінність полягає в правах доступу: обмежену роль для чату слід оцінювати і за тим, що вона може викликати, і за тим, що вона може редагувати.
Типи інструментів Chat Hub і межа пісочниці
Згідно з повідомленням, користувачі Chat Hub лише з доступом до чату могли додавати й запускати інструменти, які виконують код у пісочниці task runner, отримують доступ до файлів у дозволених n8n каталогах або використовують робочі процеси, Data Tables та агентів інстансу. Це можливості, описані в повідомленні, а не свідчення того, що клієнти зазнали таких дій.
Повідомлення про пісочницю Chat Hub не встановлює факту виходу за її межі й не вказує частоту експлуатації вразливості.
Опубліковані виправлення й подальші дії адміністраторів
Командам, які адмініструють інстанси з користувачами чату, n8n рекомендує оновитися до виправленої або новішої версії. У повідомленні від 14 жовтня 2026 року наведено такі вирази для уражених версій і відповідні виправлення без позначення каналів випуску.
| Вираз для уражених версій | Опубліковане виправлення |
|---|---|
| < 1.123.85 | 1.123.85 |
| < 2.43.5 | 2.43.5 |
| < 2.44.1 | 2.44.1 |
Якщо адміністратори не можуть негайно виконати оновлення, серед тимчасових заходів у повідомленні зазначено вимкнення Chat Hub, коли він не потрібен. Там прямо попереджено, що обхідні заходи не усувають ризик повністю. Ця стаття розглядає лише цей тимчасовий захід, а не повний перелік.
Наша практична рекомендація — призначити адміністратора, відповідального за порівняння встановленої версії з опублікованими виправленнями та організацію оновлення. Як додаткову редакційну пораду пропонуємо переглянути, які можливості інструментів команда має намір надати користувачам чату; така перевірка є окремою від усунення вразливості, описаного в повідомленні.
Що в повідомленні не уточнено
У повідомленні не зазначено, яких редакцій це стосується, як діяти для інших редакцій чи хостингових планів, який статус виправлень у n8n Cloud і які дії потрібні для конкретних розгортань. У ньому також немає команд оновлення, процедур перевірки чи інструкції з вимкнення Chat Hub. Ці деталі не слід виводити з переліку версій.
Як додаткову редакційну пораду пропонуємо з’ясувати, як перевірятиметься завершення оновлення.
