Veille sécuritéFrontend
P3Élevée
Une vulnérabilité dans le transport HTTP de @n8n/mcp-browser permettait à un client non authentifié d’ouvrir une session MCP et d’appeler des outils de contrôle du navigateur. Le risque pouvait inclure la navigation, l’exécution de JavaScript et l’accès aux cookies et au stockage du profil connecté, lorsque l’extension n8n AI Browser Bridge était installée et active.
JavaScript
IdentifiantCVE-2026-54309
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.25.7 et 2.26.2
Source : NVD — CVE-2026-54309
Analyse technique
Le défaut concerne uniquement les instances utilisant le transport HTTP (–transport http) et exposait les opérations d’initialisation de session et d’invocation d’outils sans authentification.
Impact, versions et correctif
Événement datéLa fiche NVD indique une mise à jour le 2026-10-26T11:10:00.157Z, dans la période demandée. Le candidat ne précise pas la nature du changement NVD ; faute d’élément attestant qu’il est substantiel, il n’est pas retenu comme événement du bulletin.
ImpactUn appelant non authentifié pouvant atteindre le point de terminaison pouvait invoquer les outils du navigateur et, dans les conditions décrites, accéder à des capacités du profil réel de l’utilisateur.
Versions affectéesVersions antérieures à 2.25.7 et 2.26.2, lorsque @n8n/mcp-browser est utilisé avec le transport HTTP.
Version corrigée2.25.7 et 2.26.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
EPSS0,55% · percentile 45,5%
Publication2026-06-23T16:17:01.860Z
Mise à jour2026-10-26T11:10:00.157Z
Action recommandée
Mettre à niveau vers 2.25.7 ou 2.26.2 ou une version ultérieure. Si la mise à niveau n’est pas possible, éviter d’exposer le transport HTTP de MCP Browser à des clients non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).