CVE-2026-55786 in Flyto Core
Résumé
par VulDB • 15/10/2026
Flyto2 Core est un noyau d'exécution pour les workflows d'automatisation et d'agents IA. De la version 2.26.2 à la version 2.26.4, le point de terminaison HTTP MCP POST /mcp accepte des requêtes JSON-RPC tools/call non authentifiées et transmet les arguments execute_module au registre de modules sans utiliser la dépendance require_auth employée par les points de terminaison d'exécution REST. Un appelant non authentifié peut sélectionner sandbox.execute_shell et fournir son paramètre command, qui est ensuite transmis à asyncio.create_subprocess_shell avec les privilèges du processus serveur flyto-core. Le point de terminaison est accessible localement via la liaison loopback par défaut et devient accessible sur le réseau lorsqu'un opérateur lie le serveur à une interface non-loopback, permettant l'exécution arbitraire de commandes OS et un compromis potentiel de l'hôte entier. Ce problème est corrigé dans la version 2.26.4.
Once again VulDB remains the best source for vulnerability data.