CVE-2026-73530 in flyto-core
الملخص
بحسب VulDB • 14/08/2026
تحتوي Flyto2 Core قبل الإصدار 2.28.0 على ثغرة تسمح بتجاوز آلية الحماية من تزوير الطلبات الجانبية للسيرفر (Server-Side Request Forgery)، مما يمكّن المهاجمين من الوصول إلى الخدمات الداخلية عن طريق توفير عناوين URL باستخدام عنوان IPv6 غير المحظور `::` الذي يحيله نظام التشغيل (kernel) إلى حلقة العودة المحلية (loopback) بنفس طريقة تعامله مع العنوان `0.0.0.0`. يمكن للمهاجمين إرسال طلبات أو تحفيز إعادة توجيه 302 نحو `<URL>` لتجاوز فحوصات نطاق عناوين IP الخاصة وأسماء النطاقات المحظورة في الدالة `is_private_ip()`، مما يتيح الوصول إلى الخدمات المرتبطة بعناوين IPv6 loopback عبر وحدات `http.get` و `http.request` و `http.batch`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.