Renovação de token OAuth permite acessar outro workflow sem consentimento
O servidor OAuth do n8n vinculava o primeiro token de acesso ao recurso aprovado durante a autorização, mas o refresh token não guardava esse vínculo. Na renovação, o servidor conferia apenas se o recurso solicitado estava registrado. Assim, um cliente autorizado para um workflow podia informar o endereço de outro e receber um token válido para acessá-lo, sem obter consentimento específico. A exploração exige que o atacante registre um cliente OAuth, convença você a autorizá-lo para um recurso protegido e conheça o endereço de outro recurso que você tenha permissão para executar.
Casos de uso afetados
- Você autoriza um cliente OAuth a executar um workflow com MCP Trigger protegido pelo servidor OAuth do n8n. Caso o cliente seja controlado por um atacante, ele pode usar a renovação do token para alcançar outro workflow registrado cujo endereço conheça e que você também tenha permissão para executar.
- Você mantém workflows de formulário ou webhook protegidos pelo servidor OAuth do n8n. A aprovação de um cliente para um desses recursos pode ser reutilizada na renovação para obter acesso a outro recurso registrado, mesmo que você não tenha autorizado esse segundo acesso.
Confira na sua instância
Confira a versão instalada com n8n --version no ambiente que executa a aplicação e compare com a faixa correspondente abaixo. Revise os workflows com MCP Trigger, formulário ou webhook para identificar quais usam a proteção do servidor OAuth do n8n. Examine os clientes OAuth conectados e as autorizações concedidas, verificando qual workflow você aprovou para cada cliente. Revogue os clientes desconhecidos ou desnecessários. Após atualizar, exija uma nova autorização de todos os clientes existentes, conforme orienta o comunicado, porque os refresh tokens antigos não armazenavam o vínculo com o recurso aprovado.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| n8n (npm), linha 2.38.x | < 2.38.2 | >=2.38.2 |
| n8n (npm), linha 2.37.x | < 2.37.7 | >= 2.37.7 |
Identificador adicional: CVE-2026-86073. A pontuação 5,9 corresponde ao CVSS v4.0. A prosa do comunicado cita 2.38.1 como corrigida, mas os campos estruturados da API indicam >=2.38.2, faixa preservada nesta ficha. A correção vincula o refresh token ao recurso autorizado e rejeita a renovação para outro recurso. Até atualizar, restrinja o acesso à instância a participantes plenamente confiáveis e desative os workflows protegidos pelo servidor OAuth que não sejam necessários. Essas medidas são temporárias e não corrigem integralmente a falha.
