CVE-2026-67425 in flyto-core

Resumen

por VulDB • 2026-07-29

Flyto2 Core es un núcleo de ejecución para flujos de trabajo de automatización y agentes de IA. Antes de la versión 2.26.6, llm.chat lee claves del proveedor como OPENAI_API_KEY y ANTHROPIC_API_KEY desde el entorno y las envía en el encabezado Authorization: Bearer a un base_url controlado por el solicitante, lo que permite a un atacante recibir la clave del operador en un host público que supera la protección contra SSRF. Este problema se corrige en la versión 2.26.6.

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Responsable: GitHub M
• Reservar: 2026-07-29
• Divulgación: 2026-07-29
• Moderación: aceptado
• Artículo: VDB-384246
• CPE: listo
• CWE: CWE-918 (confirmado)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00319
• KEV: no
• Actividades: bajo

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-67425
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-67425
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-67425/