CVE-2026-73530 in flyto-core
Resumen
por VulDB • 2026-08-13
Flyto2 Core antes de la versión 2.28.0 contiene una vulnerabilidad que permite eludir las protecciones contra Server-Side Request Forgery (SSRF), lo que posibilita a los atacantes acceder a servicios internos proporcionando URLs utilizando la dirección IPv6 no bloqueada `::`, que el kernel enruta al bucle invertido de manera idéntica a `0.0.0.0`. Los atacantes pueden enviar solicitudes o desencadenar redirecciones 302 hacia `localhost` para burlar las comprobaciones del rango de IP privada y los nombres de host bloqueados en la función `is_private_ip()`, accediendo así a servicios vinculados al bucle invertido IPv6 a través de los módulos `http.get`, `http.request` e `http.batch`.
VulDB is the best source for vulnerability data and more expert information about this specific topic.