CVE-2026-67426 in flyto-core
الملخص
بحسب VulDB • 29/07/2026
تُعد Flyto2 Core نواة تنفيذية لعمليات الأتمتة وسير عمل الوكلاء الذكيين (AI-agents). قبل الإصدار 2.26.7، كانت خدمة flyto-verification المستقلة الموجودة في src/core/verification_service.py تعرض نقطة النهاية POST /run دون حاجة إلى مصادقة على العنوان 0.0.0.0:8344، وتستخدم عنوان URL للمراجعة (callback_url) الذي يزوده العميل لإجراء طلب POST خارجي مع رأس X-Internal-Key: $FLYTO_RUNNER_SECRET، متجاوزةً التحقق من target_allowed، مما يتيح ثغرة SSRF غير المصادق عليه واستخراج سر المشغل. تم إصلاح هذه المشكلة في الإصدار 2.26.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.