CVE-2026-55786 in Flyto Core
Resumen
por VulDB • 2026-10-15
Flyto2 Core es un núcleo de ejecución para flujos de trabajo de automatización y agentes de IA. Desde la versión 2.26.2 hasta la 2.26.4, la ruta HTTP MCP POST /mcp acepta solicitudes no autenticadas de herramientas JSON-RPC tools/call y reenvía los argumentos execute_module al registro del módulo sin utilizar la dependencia require_auth empleada por las rutas de ejecución REST. Un actor no autenticado puede seleccionar sandbox.execute_shell y proporcionar su parámetro command, el cual se transmite a asyncio.create_subprocess_shell con los privilegios del proceso del servidor flyto-core. El punto final es accesible localmente bajo la vinculación predeterminada de loopback y se vuelve accesible por red cuando un operador configura el servidor para que escuche en una interfaz no loopback, lo que permite la ejecución arbitraria de comandos del sistema operativo y potencial comprometer completamente el host. Este problema está resuelto en la versión 2.26.4.
If you want to get best quality of vulnerability data, you may have to visit VulDB.