Викрадення облікових даних окремих користувачів n8n: повідомлення від 14 жовтня та необхідні дії
Що повідомляє n8n від 14 жовтня 2026 року про викрадення облікових даних користувачів, воркфлоу обробки помилок, виправлені версії та дії адміністраторів.
Перевірено за наведеними джерелами .
Повідомлення про викрадення облікових даних окремих користувачів n8n
Повідомлення про безпеку n8n, опубліковане 14 жовтня 2026 року, описує вразливість, пов’язану з тим, що воркфлоу обробки помилок успадковує ідентичність іншого користувача. Офіційне повідомлення GHSA-pcr3-v5vr-qppf вказує виправлені версії та рекомендує оновлення.
Описаний ризик виникає, коли редактор проєкту призначає для воркфлоу колеги власний воркфлоу обробки помилок. Якщо воркфлоу колеги завершувався з помилкою, успадкована ідентичність користувача могла дозволити редактору отримати секрети персональних облікових даних колеги. Це опис можливого шляху атаки; повідомлення не містить відомостей про зафіксовані викрадення, поширеність експлуатації чи кількість постраждалих клієнтів.
На нашу думку, важлива межа повноважень тут — хто може вибирати воркфлоу обробки помилок для чужої автоматизації. Командам слід розглядати це рішення як питання безпеки нарівні із самою логікою відновлення.
Що змінилося в успадкуванні контексту виконання n8n
Для вразливого шляху виконання воркфлоу обробки помилок у повідомленні зазначено, що тепер такий воркфлоу отримує лише поля, не пов’язані з ідентичністю користувача. Саме так описано зміну в успадкуванні контексту виконання n8n. Повідомлення не перелічує ці поля й не описує наслідків для сумісності.
Повідомлення про викрадення облікових даних окремих користувачів n8n називає n8n 2.42.2 та 2.41.5 версіями з виправленням і вказує користувачам оновитися до однієї з них або новішої версії. У полях уражених версій окремо зазначено версії нижче 2.42.2 та нижче 2.41.5, без пояснення вибору гілки релізів.
Наша редакційна порада — перед плануванням оновлення доручити відповідальному за інстанс визначити встановлену версію та гілку релізів. Повідомлення не містить процедури оновлення для конкретного способу встановлення, тому ця стаття не наводить команд розгортання.
Безпека воркфлоу обробки помилок n8n: оновлення та тимчасові заходи
Для ризику викрадення облікових даних окремих користувачів n8n, описаного в цьому повідомленні, рекомендована дія — оновлення. Якщо його відкладено, повідомлення пропонує адміністраторам розглянути наведені нижче тимчасові заходи. Вони не усувають ризик повністю.
Ми радимо насамперед призначити відповідального за оновлення, а не вважати тимчасові обмеження остаточним виправленням. Це наша практична рекомендація, окрема від заходів, перелічених у повідомленні.
Про що повідомлення не говорить
Повідомлення не уточнює, яких редакцій або хмарних тарифних планів стосується вразливість і чи було автоматично виправлено хмарні інстанси. Дата публікації не встановлює, коли почалася експлуатація вразливості або коли виправлення вперше стали доступними.
Воно також не містить інструкцій із ротації облікових даних, процедур реагування на інциденти, докладної процедури аудиту чи перевірочного тесту. Ці подробиці не можна вивести з опису оголошеного виправлення.
