n8n 2.47.6、2.47.7、2.48.3 Beta、2.48.4 Beta、3.2.2预发布与1.123.96有哪些工作流信任边界？

n8n的这四项漏洞，说明AI工作流中的输入、凭据和执行权限不能互相替代。安全修复起点是2.47.6、2.48.3 Beta与3.2.2预发布，API路径与触发器问题另含1.123.96；2.47.7正式版和2.48.4 Beta有后续执行记录脱敏调整，却不是这组漏洞的首次修复版。

外部输入为什么不只是普通业务数据

在GHSA-c772-hjfp-gfc2中，记录、表或资源ID参与构造集成节点的API路径，却没有得到编码。参数包含相对路径片段时，请求可能抵达同一服务内另一个端点。若这些值来自Webhook请求体等不可信输入，节点仍会使用自身保存的凭据，导致请求超出设计资源范围。

因此，这里的信任边界不在于模型是否理解文字，而在于外部值如何进入带权限的请求。可能发生的影响包括读取、修改或删除其他资源；并不需要把凭据原文交给外部调用者。对应维护线的修复起点为1.123.96、2.47.6、2.48.3 Beta及3.2.2预发布。

自定义端点并不等于允许访问内部地址

GHSA-g333-hr44-g82p涉及AWS Bedrock Chat Model和Embeddings AWS Bedrock节点。AWS凭据可设置自定义Bedrock运行端点，然而该路径上的请求没有经过n8n的SSRF保护。具有创建AWS凭据能力的成员，可能使节点访问内部或本应被阻止的地址，并通过节点错误看到响应开头。

这不是所有模型端点共同存在的缺陷，也不是任意未登录访问者均能触发。关键条件是相应节点、自定义运行端点和成员的凭据创建能力。修复列在2.47.6、2.48.3 Beta和3.2.2预发布中，1.123.96没有被这项披露列为补丁。

知道凭据ID为什么仍不应该取得凭据权限

GHSA-h59h-rf6m-7jp5发生在工作流激活阶段。触发器使用配置中的凭据注册外部服务，但激活没有检查发布者对凭据的访问权限。知道其他用户凭据ID的成员，可能激活引用该凭据的触发器，进而创建或删除外部Webhook，并让所选资源事件进入自己的工作流。

资源标识可被知道，与资源可被使用，是不同的权限判断。相应修复覆盖1.123.96、2.47.6、2.48.3 Beta和3.2.2预发布，不能仅靠凭据ID看起来复杂就替代授权检查。

账户管理权限为什么还需要保护实例所有者

高危GHSA-q8rc-7m84-mfvj的攻击前提是使用自定义角色功能，且成员的自定义实例角色含用户管理权限。密码重置链接和角色修改操作没有对这种角色保留所有者保护，成员可能接管所有者账户或改变其角色，取得实例控制权。

这是授权管理边界的问题，不是普通工作流输入本身造成的账户接管。补丁起点为2.47.6、2.48.3 Beta与3.2.2预发布；不能把1.123.96在其他两项中的补丁身份套用到这里。

不同分支和临时防护怎样对应

2.47.6及后续2.47.7属于正式渠道；2.48.3与2.48.4是Beta，3.2.2也是预发布，生产环境不能默认跨到这些渠道。1.123.96的明确覆盖是API路径和触发器两项。版本范围应按维护分支理解，不能把多条补丁范围压缩为一个跨分支比较式。

可信用户限制、最小凭据权限、网络访问约束以及自定义角色收紧，只是对应风险的临时缓解方向，不是补丁替代品。四项披露未提供已在野利用的证据，也没有已知CVE编号；高危评价描述可能后果和前提，不等于某个实例已经遭入侵。