Renovação de token OAuth permite acessar um workflow sem consentimento
O servidor OAuth do n8n vinculava o primeiro token de acesso ao workflow aprovado, mas o refresh token não guardava esse vínculo. Durante a renovação, o servidor aceitava a indicação de outro recurso registrado sem conferir se ele correspondia à autorização original. Assim, um cliente aprovado para um workflow podia obter um token válido para outro workflow que você tivesse permissão para executar, sem receber seu consentimento para esse segundo acesso. A correção associa o refresh token ao recurso autorizado e rejeita a troca.
Casos de uso afetados
- Você usa o servidor OAuth do n8n para autorizar clientes a executar workflows protegidos. O ataque exige que um invasor registre um cliente OAuth, obtenha sua aprovação para um recurso conhecido e conheça o endereço de outro recurso que você possa executar.
- Workflows com MCP Trigger, formulários ou webhooks entram na conferência quando a autenticação depende do servidor OAuth do n8n. Um cliente autorizado para apenas um deles pode aproveitar a renovação do token para alcançar outro recurso registrado, dentro das suas permissões de execução.
Confira na sua instância
Confira a versão em execução e compare-a com a faixa correspondente na tabela. Examine os workflows protegidos pelo servidor OAuth do n8n e revise os clientes conectados, verificando qual recurso você autorizou para cada cliente. Revogue os clientes desconhecidos ou sem uso. Após atualizar, exija nova autorização de todos os clientes existentes, pois os refresh tokens emitidos anteriormente não registravam o recurso original. Confirme que cada integração concluiu essa nova autorização para o workflow esperado.
Versões afetadas e correções
| Linha | Afetadas | Corrigidas |
|---|---|---|
| n8n (npm), 2.38.x | < 2.38.2 | >=2.38.2 |
| n8n (npm), 2.37.x | < 2.37.7 | >= 2.37.7 |
O aviso também identifica a falha como CVE-2026-86073, com pontuação 5,9 no CVSS v4. A descrição do comunicado cita 2.38.1, mas o campo de versões corrigidas da API informa >=2.38.2. A tabela preserva as duas faixas da API separadamente. Até atualizar, restrinja o acesso à instância a usuários de confiança e desative os workflows protegidos por OAuth que não forem necessários. Essas medidas são temporárias e não corrigem a falha. A correção disponível no projeto não confirma a atualização da sua instância.
