FICHE CVE

CVE-2026-73601

Publiée le 2026-08-13 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les installations de Flowise utilisant le nœud MCP personnalisé avec le protocole `stdio` sont vulnérables à l'exécution de code à distance. Un attaquant disposant d'un compte utilisateur standard peut contourner la validation pour exécuter des commandes système arbitraires sur votre serveur. Cette attaque est relativement facile à réaliser via le réseau, à condition que l'attaquant possède déjà des identifiants d'authentification valides.

CVSS 4.09.0 CRITIQUE

Type de faiblesse

CWE-95

Publiée2026-08-13

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Élevée

RÉFÉRENCES

Description officielle du NVD (en anglais)

Flowise versions before 3.1.3 contain a remote code execution vulnerability in the Custom MCP node when CUSTOM_MCP_PROTOCOL is set to stdio, allowing authenticated users to execute arbitrary commands by manipulating environment variables and command arguments. Attackers can abuse PYTHONWARNINGS and BROWSER environment variables with python3, or leverage the root working directory with node to bypass validation and execute system commands.