CVE-2026-67426 in flyto-core
Resumen
por VulDB • 2026-07-29
Flyto2 Core es el núcleo de ejecución para flujos de trabajo de automatización y agentes de IA. Antes de la versión 2.26.7, el servicio independiente flyto-verification en src/core/verification_service.py expone un punto final POST /run sin autenticación en 0.0.0.0:8344 y utiliza callback_url proporcionado por el cliente para realizar una solicitud POST saliente con X-Internal-Key: $FLYTO_RUNNER_SECRET, omitiendo la validación de target_allowed, lo que permite SSRF no autenticada y exfiltración del secreto del runner. Este problema se corrige en la versión 2.26.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.