Flux sous alerte: fonctionnement actif de CVE-2025-59528 qui permet l'exécution à distance du code et le contrôle du serveur

Une faille de sécurité maximale dans Flowise, la plate-forme open-source pour construire des flux avec des modèles IA, est activement exploitée par les attaquants, selon l'analyse de la firme VulnCheck. Le défaut identifié comme CVE-2025-59528 a un score CVSS de 10.0 et permet l'injection de code, ce qui peut entraîner l'exécution à distance des commandes sur les serveurs exécutant Flowise.

Essentiellement, la vulnérabilité est située dans un nœud appelé CustomMCP, chargé d'accepter la configuration nécessaire pour se connecter à un serveur MCP (Model Context Protocol). En traitant la chaîne de configuration que l'utilisateur livre, Flowise exécute même le code JavaScript sans validation de sécurité, qui ouvre la porte à un attaquant pour exécuter des instructions arbitraires avec les privilèges de l'environnement Node.js exécutant l'application. Dans la pratique, cela permet d'accéder à des modules dangereux comme processus _ enfant pour lancer des commandes système et fs pour lire ou modifier des fichiers, exposer des données sensibles et permettre de prendre le serveur pleinement.

Flowise a publié une notification et a analysé le problème dans la version 3.0.6 du paquet disponible en npm; la solution et le code de plate-forme peuvent être trouvés dans son dépôt officiel dans GitHub et la page de paquet en npm. Kim SooHyun est reconnu comme la personne qui a découvert et signalé la vulnérabilité.

La situation est compliquée car, selon VulnCheck, l'exploitation sur le terrain n'est pas purement théorique: des tentatives ont été détectées depuis un seul point de sortie sur le réseau Starlink, et la zone d'attaque publique des instances exposées sur Internet est grande. Le chercheur Caitlin Condon, de VulnCheck, a averti qu'avoir plus de dix mille instances accessibles à partir d'Internet augmente la probabilité que les attaquants balayent et exploitent des serveurs non-patch, ce qui s'est déjà produit avec les précédentes défaillances de Flowise.

Ce CVE est ajouté à d'autres problèmes précédemment utilisés sur la plate-forme: une exécution à distance des commandes sur le système d'exploitation et une vulnérabilité de téléchargement arbitraire de fichiers, avec des scores également élevés. Le fait que seul un jeton API soit nécessaire pour interagir avec les fonctionnalités vulnérables augmente le risque de continuité des activités et de confidentialité des clients et des données.

Pour les équipes qui gèrent L'écoulement de la recommandation est clair et urgent : appliquer la mise à jour disponible à la version corrigée du paquet, limiter l'exposition publique des instances et faire pivoter les références exposées. En outre, il convient d'examiner les dossiers pour des activités inhabituelles et d'appliquer des protections de confinement, comme la restriction de l'accès au réseau, l'utilisation d'un pare-feu d'application Web et la réduction des privilèges du processus Node.js en production. Des ressources comme les guides d'exécution de code à distance de l'OWASP peuvent aider à contextualiser les mesures défensives.

Les incidents récents mettent en évidence une leçon récurrente en matière de sécurité des logiciels : les capacités d'extension et de configuration dynamique dans les environnements qui exécutent le code (comme les nœuds qui traitent les chaînes de configuration) doivent être mises en œuvre avec des contrôles stricts, car toute exécution de code non validée peut rapidement devenir une lacune avec de graves conséquences.

Pour plus d'informations et de suivi sur les correctifs et les recommandations, voir le dépôt officiel de Flowise dans GitHub https: / / github.com / FlowiseAI / Flowise / publications, la page de paquet en npm https: / / www.npmjs.com / paquet / flux et les analyses publiques et les avis d'entreprises de recherche VulnCheck. Pour un contexte supplémentaire d'exploitation et de communication au grand public, des moyens spécialisés tels que Les nouvelles Hacker ont couvert des incidents similaires.

Si vous gérez les instances de Flowise, priorisez la mise à jour et prenez des mesures d'atténuation immédiates : la fenêtre pour réduire les risques est courte lorsqu'il y a des exploits actifs sur le réseau.