# Failles critiques dans OpenBullet2 et Flowise exposent des risques majeurs

_Publié le 7 novembre 2026 — https://ip73.fr/2026/11/07/failles-critiques-dans-openbullet2-et-flowise-exposent-des-risques/_

Des modules ajoutés au Metasploit Framework mettent en lumière des failles dans des outils tiers, notamment OpenBullet2 et Flowise. Ces ajouts documentent des risques sérieux, allant de la divulgation de hachages NTLMv2 à la prise de contrôle de compte sans authentification.

Concernant OpenBullet2, l'annonce de github.com détaille des modules ciblant des failles importantes. On parle notamment de CVE-2026-39908, une faille de divulgation de données sur Windows. Ce mécanisme permet, selon les tests montrés, de forcer l'application à révéler le hachage NTLMv2 du processus utilisateur en configurant un proxy UNC pointant vers un serveur contrôlé par l'attaquant. De plus, CVE-2026-25856 introduit un risque d'exécution de code à distance (RCE) non authentifié, exploitant le mode d'exécution C# de l'application.

## Le périmètre des failles : prise de contrôle et exfiltration

Le danger ne se limite pas à l'environnement d'automatisation des tests. Flowise, une plateforme pour construire des flux d'intelligence artificielle, présente une vulnérabilité critique. Un avis de sécurité de github.com signale que l'endpoint `/api/v1/account/forgot-password` retourne des informations sensibles, dont un jeton de réinitialisation valide (`tempToken`), sans aucune vérification initiale. Un attaquant n'a besoin que de l'adresse e-mail de la victime pour lancer la séquence : obtenir le jeton, puis utiliser cet élément pour réinitialiser le mot de passe et prendre le contrôle total du compte, que ce soit sur l'instance cloud ou en local.

À titre de comparaison, Rapid7 a récemment documenté des modules pour des failles dans des équipements réseau majeurs. Par exemple, un module pour Flowise exploite CVE-2025-58434, permettant de réinitialiser un mot de passe si l'on connaît l'adresse e-mail de la victime.

## Que faire maintenant

La situation exige une réaction ciblée, surtout pour ceux qui utilisent ces plateformes. Pour OpenBullet2, les versions affectées sont identifiées jusqu'à la 0.3.2. Il est impératif de surveiller les annonces officielles de l'outil pour les correctifs des failles de RCE et de divulgation de hachage.

Pour Flowise, les utilisateurs sont fortement incités à passer à la version 3.0.6 ou ultérieure, car le commit correspondant sécurise les points d'accès de réinitialisation de mot de passe. Au-delà des correctifs logiciels, il est recommandé de renforcer les mesures de sécurité : pour Flowise, cela implique de ne plus renvoyer de jetons sensibles dans les réponses API et d'assurer une validation robuste de ces jetons. Pour toute instance exposée, une surveillance accrue des tentatives de réinitialisation de compte semble être la prochaine étape logique.

## Fiche technique

| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2025-58434 | flowise (npm) | Critique (CVSS 9,8) | Non signalée | flowise 3.0.6 |
| CVE-2026-25856 | — | Élevée (CVSS 8,7) | Non signalée | Voir l’avis de l’éditeur |
| CVE-2026-39908 | — | Élevée (CVSS 7,1) | Non signalée | Voir l’avis de l’éditeur |

*Données : [NVD](https://nvd.nist.gov/) (NIST) et [GitHub Advisory Database](https://github.com/advisories) ([CC BY 4.0](https://creativecommons.org/licenses/by/4.0/deed.fr), données adaptées).*

## Sources

- [Add OpenBullet2 modules (CVE-2026-25856 and CVE-2026-39908) by vognik · Pull Request #21541 · rapid7/metasploit-framework](https://github.com/rapid7/metasploit-framework/pull/21541), github.com
- [ENH: auxiliary module for Flowise Authentication Bypass CVE-2025-58434 by rmhowe425 · Pull Request #21757 · rapid7/metasploit-framework](https://github.com/rapid7/metasploit-framework/pull/21757), github.com
- [Metasploit Wrapup: Unauth RCE modules in Network Perimeter Devices and much more](https://www.rapid7.com/blog/post/pt-metasploit-wrapup-unauth-rce-modules-in-network-perimeter-devices-and-much-more), Rapid7, 6 novembre 2026
- [Weekly Report: Cisco Secure Firewall ASAおよびFTD Softwareにサービス運用妨害（DoS）の脆弱性](https://www.jpcert.or.jp/wr/2026/wr261105.html#3), JPCERT/CC, 5 novembre 2026
- [Avis de sécurité (github.com)](https://github.com/FlowiseAI/Flowise/security/advisories/GHSA-wgpv-6j63-x5ph), github.com, 12 septembre 2025
- [GHSA-wgpv-6j63-x5ph](https://github.com/advisories/GHSA-wgpv-6j63-x5ph) : Flowise Cloud and Local Deployments have Unauthenticated Password Reset Token Disclosure…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2025-58434](https://nvd.nist.gov/vuln/detail/CVE-2025-58434), NVD (NIST)
- [GHSA-w8vj-qcv3-4w36](https://github.com/advisories/GHSA-w8vj-qcv3-4w36) : OpenBullet2 through version 0.3.2 contains an authenticated remote code execution…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-25856](https://nvd.nist.gov/vuln/detail/CVE-2026-25856), NVD (NIST)
- [GHSA-489c-3g86-35rh](https://github.com/advisories/GHSA-489c-3g86-35rh) : OpenBullet2 through version 0.3.2 on Windows contains a credential disclosure…, GitHub Advisory Database (CC BY 4.0)
- [CVE-2026-39908](https://nvd.nist.gov/vuln/detail/CVE-2026-39908), NVD (NIST)