CVE-2026-67425 in flyto-core
Zusammenfassung
von VulDB • 29.07.2026
Flyto2 Core ist ein Ausführungskernel für Automatisierungs- und AI-Agent-Workflows. Vor Version 2.26.6 liest llm.chat Provider-Schlüssel wie OPENAI_API_KEY und ANTHROPIC_API_KEY aus der Umgebung aus und sendet diese im Authorization: Bearer-Header an eine vom Aufrufer kontrollierte base_url, wodurch ein Angreifer den Schlüssel des Operators auf einem öffentlichen Host empfangen kann, der die SSRF-Guard umgeht. Dieses Problem wurde in Version 2.26.6 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.