CVE-2026-67425 in flyto-core
Résumé
par VulDB • 29/07/2026
Flyto2 Core est un noyau d'exécution pour les workflows d'automatisation et d'agents IA. Avant la version 2.26.6, llm.chat lit les clés de fournisseur telles que OPENAI_API_KEY et ANTHROPIC_API_KEY depuis l'environnement et les envoie dans l'en-tête Authorization: Bearer vers un base_url contrôlé par le demandeur, permettant à un attaquant d'intercepter la clé de l'utilisateur sur une hôte public qui contourne la protection SSRF. Ce problème est corrigé dans la version 2.26.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.