CVE-2025-15060

Injection de Commandes dans Framelink Figma MCP Server

Une vulnérabilité critique, identifiée sous la référence CVE-2025-15060, affecte le serveur Framelink Figma MCP. Elle concerne un défaut dans la méthode fetchWithRetry qui ne valide pas correctement les entrées de l’utilisateur.

Points Clés :

• Type de Vulnérabilité : Injection de commandes.
• Produit Affecté : Framelink Figma MCP Server.
• Cause : Absence de validation des chaînes de caractères fournies par l’utilisateur avant leur utilisation dans un appel système.
• Impact : Permet à des attaquants distants d’exécuter du code arbitraire sur les installations affectées. L’exécution se fait dans le contexte du compte de service.
• Authentification Requise : Aucune.

Vulnérabilités :

• CVE-2025-15060 : Injection de commandes due à une mauvaise validation des entrées dans la méthode fetchWithRetry.

Recommandations :

Bien que l’article ne détaille pas les recommandations spécifiques, les mesures générales pour pallier ce type de vulnérabilité incluent la mise à jour immédiate du logiciel vers une version corrigée, ainsi que la mise en place de contrôles de sécurité pour valider et assainir toutes les entrées provenant d’utilisateurs avant de les utiliser dans des opérations système sensibles.

Source