Faille critique CVSS 9.9 : L'implémentation MCP de Flowise menacée d'exécution de code à distance!!

Salut à tous les amoureux de l'high-tech,

La sécurité autour des architectures d'intelligence artificielle est décidément le grand défi de cette année 2026. Le 3 juin 2026, une vulnérabilité d'une extrême gravité a été révélée par les chercheurs d'Obsidian Security au cœur de Flowise, la célèbre plateforme open source en mode low-code.

Rachetée par le géant Workday en août 2025, Flowise est massivement utilisée par les entreprises pour concevoir des chatbots, des architectures RAG (Génération augmentée par récupération) et des agents autonomes connectés aux données de l'entreprise. La faille découverte affiche un score CVSS de 9.9, synonyme de danger immédiat.

Fiche technique de la faille (Juin 2026)

• Identifiant : CVE-2026-40933.

• Score de gravité : 9.9 / 10 (Critique).

• Type de menace : Exécution de code à distance (RCE) en "un clic".

• Systèmes affectés : Déploiements Flowise auto-hébergés (on-premise) où l'implémentation MCP stdio est activée.

• Systèmes sécurisés : Flowise Cloud n'est pas impacté (la fonction y est désactivée).

Le protocole MCP stdio détourné pour obtenir un accès Root

Le Model Context Protocol (MCP) via stdio est conçu pour permettre aux agents IA de lancer des processus locaux et de communiquer avec eux. C'est ce qui leur donne le pouvoir d'interagir avec des fichiers, des dépôts Git, des bases de données ou des identifiants locaux.

Le problème identifié par Obsidian Security vient d'un défaut majeur de sandboxing (isolation). Flowise permet aux utilisateurs de configurer des serveurs MCP stdio contenant des commandes arbitraires. Ces commandes finissant par être exécutées directement par le système d'exploitation sous-jacent, un attaquant peut exécuter du code à distance avec les privilèges de Flowise.

Pire encore : dans le cas de déploiements conteneurisés (comme Docker), cela peut carrément offrir un accès de niveau root à l'ensemble de l'environnement d'hébergement. L'exploitation réussie met en péril les clés API, les applications SaaS et toutes les ressources cloud connectées à la plateforme.

[Flux de conversation malveillant importé] ──► [Défaillance du Sandboxing MCP stdio]
                                                               │
[Accès ROOT à l'environnement d'hébergement] ◄── [Exécution de commandes OS arbitraires]

Un correctif officiel jugé insuffisant et contournable

La faille peut être déclenchée très facilement : il suffit qu'un administrateur importe un flux de conversation malveillant, d'un simple clic, avant même toute sauvegarde ou exécution.

Bien que Flowise ait tenté de réagir rapidement à travers plusieurs vagues de mises à jour, la menace persiste. L'éditeur a notamment introduit une couche de validation par défaut baptisée CUSTOM_MCP_SECURITY_CHECK (mise à jour #5232), complétée ensuite par des filtres d'indicateurs dans les patchs #5741 and #5943.

Cependant, les experts d'Obsidian Security lancent une alerte claire : ces correctifs ne font que masquer les symptômes sans régler le problème de fond. Ils s'appuient sur du filtrage de commandes qui reste facilement contournable. Pour preuve, Obsidian a partagé une démonstration de faisabilité (PoC) fonctionnelle prouvant qu'il est toujours possible de réussir une RCE malgré les dernières protections de Flowise.

Interpellé sur le sujet pour désactiver cette fonction par défaut, Flowise a refusé, déclarant vouloir « limiter ce qui a été identifié comme dangereux sans désactiver complètement les fonctionnalités sur lesquelles les utilisateurs peuvent compter ».

Comment protéger votre infrastructure ?

Puisque les filtres officiels de l'éditeur peuvent être contournés, les chercheurs recommandent d'appliquer la seule mesure d'atténuation logicielle complète et robuste à ce jour :

1. Désactiver MCP stdio : Forcez l'utilisation du protocole SSE en modifiant votre variable d'environnement :

   Bash

   CUSTOM_MCP_PROTOCOL=sse
   

2.  **Si MCP stdio est indispensable à votre activité :** 
    *   Verrouillez les paquets de confiance dans vos configurations.
    *   Examinez et auditez activement la configuration de vos serveurs.
    *   **Interdiction formelle** d'importer des flux de conversation provenant de sources externes ou non fiables.

C'est le deuxième dossier de la semaine (après Snowflake et Natoma) qui met en lumière les risques de sécurité majeurs du protocole MCP. 
Si ce protocole fluidifie la communication de nos agents IA, son implémentation locale (stdio) est une véritable passoire si elle n'est pas sévèrement cloisonnée. 
Flowise privilégie ici l'expérience utilisateur et les fonctionnalités face à une sécurité stricte, ce qui est une posture extrêmement risquée en entreprise. 
Si vous auto-hébergez Flowise pour vos outils métiers, appliquez la bascule en `sse` dès aujourd'hui sous peine de voir votre serveur totalement compromis.