n8n stable 2.45.7 yaması, workflow kapsamındaki route'larda execution:read zorunlu kılıyor

Projenin GitHub sürüm notlarının dev.to'daki özetine göre n8n, 30 Ekim'de sürdürdüğü üç dal için de yama sürümleri yayınladı — beta hattında 2.46.3, stable'da 2.45.7 ve eski 1.x serisinde 1.123.91. Yalnızca stable sürüm bir güvenlik sağlamlaştırma düzeltmesi içeriyor; aynı gün çıkan beta ve eski sürümler rutin bakım olarak nitelendiriliyor.

2.45.7'deki yetkilendirme sıkılaştırması

2.45.7 değişiklik günlüğünde temel bir düzeltme yer alıyor: Bir workflow'a kapsamlı route'lar artık çalıştırma verisini sunmadan önce execution:read kapsamını talep ediyor. Dev.to gönderisinde açıklandığı gibi, bu route'lar daha önce rolleri workflow kapsamlarını içeren ama execution kapsamlarını içermeyen kullanıcılara çalıştırma verisi verebiliyordu. Ayrı executions API'si her zaman execution:read denetimini uyguluyordu ve bu yama, workflow kapsamındaki route'ları onunla uyumlu hale getiriyor.

23 Ekim'de birleştirilen ilgili bir değişiklik aynı kuralı n8n'nin AI Assistant'ına extend ediyor; asistan artık çalıştırmaları okumak ve listelemek, ayrıca son çalıştırmaları bağlamına çekmek için execution:read gerektiriyor — bu da executions API'si ve projenin MCP araçlarıyla tutarlı. Rapor, değişikliğin kaydı olarak 41863 numaralı pull request'e ve a967486 birleştirme commit'ine işaret ediyor.

Henüz güvenlik danışma belgesi yok

Yayın tarihi itibarıyla n8n'nin herkese açık danışma belgeleri listesinde bu değişikliğe özgü bir GitHub güvenlik danışması görünmüyor; liste şu anda yalnızca dev.to gönderisine göre 28 Ekim tarihli, ilgisi olmayan bir güvenlik güncellemesinin maddelerini gösteriyor. Proje, güvenlikle ilgili değişiklikleri genellikle düzenli GitHub sürümleriyle ve topluluk forumundaki iki haftalık güvenlik gönderileriyle duyuruyor; danışma belgeleri GHSA tanımlayıcıları taşıyor.

Eski hatta imzalı davet token'ları

Eski dal bir gün önce güvenlik yakını bir değişiklik aldı. 29 Ekim'de yayımlanan 1.123.90 sürümü, davetleri kabul etmek için imzalı bir token'ı zorunlu kıldı; böylece imzasız davet bağlantıları artık çalışmıyor. Rapor, execution:read sıkılaştırmasının ise şu ana kadar hiçbir 1.123.x sürümünde görünmediğini belirtiyor.

Operatörler ne yapmalı

Dev.to gönderisi, self-hosted operatörlere ve platform ekiplerine düzeltmenin şu anda geldiği 2.45.7'ye yükseltme planı yapmalarını öneriyor ve iki takip görevine dikkat çekiyor:

• Özel rolleri ve proje izinlerini denetleyin. execution:read olmadan workflow kapsamları veren roller, workflow kapsamındaki route'lardan çalıştırma verisi almayı duracak; dolayısıyla eski davranışa dayanan dashboard, rapor veya entegrasyonlara açıkça execution:read kapsamının eklenmesi gerekiyor.
• Bekleyen davet bağlantılarını yeniden oluşturun, çünkü eski imzasız olanlar artık kabul edilmeyecek.

Gönderi, tüm dallardaki kullanıcıların ilgili yama sürümlerine geçmesi gerektiğini ekliyor.

Neden önemli

Bu, ekiplerin self-host olarak çalıştırıp daha geniş altyapısına bağladığı bir yazılımda en az ayrıcalık ilkesine uygun bir düzeltme. Ana API'nin bir izni zorunlu kılması ama kapsamlı bir varyantın bunu sessizce yapmaması gibi boşluklar klasik bir kör noktadır ve bariz bir şey kırılmadığı için uzun süre varlığını sürdürebilir. Operatörler için risk iki yönlü: çalıştırma verisine, öngörülen izin modelini atlayan bir yoldan erişilebiliyordu ve yama geldiğinde de gevşek davranışa sessizce bağımlı olmuş araçlar çalışmamaya başlayacak. Sıkılaştırmanın henüz 1.x hattına ulaşmamış olması da hâlâ eski sürümleri çalıştıranlar ve yükseltmenin ne kadar acil olduğunu tartanlar için hesaba katılması gereken bir husus.