FICHE CVE

CVE-2025-53967

Publiée le 2025-10-08 · Dernière modification le 2026-10-08

🇫🇷 EN BREF

Les versions du serveur Framelink Figma MCP antérieures à la 0.6.3 sont vulnérables à l'exécution de commandes à distance. Un attaquant non authentifié disposant d'un accès réseau à l'interface MCP peut exécuter des commandes arbitraires du système d'exploitation en envoyant une requête HTTP POST spécialement conçue. Bien que l'attaque soit techniquement complexe à exécuter, elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants de connexion.

CVSS 3.18.0 ÉLEVÉE

Type de faiblesse

CWE-420

Publiée2025-10-08

Dernière modification2026-10-08

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueAdjacent

Complexité d'attaqueÉlevée

Privilèges requisAucun

Interaction utilisateurAucune

PortéeModifiée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Framelink Figma MCP Server before 0.6.3 allows an unauthenticated remote attacker to execute arbitrary operating system commands via a crafted HTTP POST request with shell metacharacters in input that is used by a fetchWithRetry curl command. The vulnerable endpoint fails to properly sanitize user-supplied input, enabling the attacker to inject malicious commands that are executed with the privileges of the MCP process. Exploitation requires network access to the MCP interface.