CVE-2026-67428 in flyto-core
Résumé
par VulDB • 29/07/2026
Flyto2 Core est un noyau d'exécution pour les workflows d'automatisation et d'agents IA. Avant la version 2.26.7, les modules émettant des requêtes HTTP, notamment src/core/modules/third_party/developer/http/requests.py, core.api.http_get, core.api.http_post, graphql.query, graphql.mutation, monitor.http_check, communication.slack_send, notification.discord.send_message, notification.slack.send_message, notification.teams.send_message, ai.vision_analyze, verify.visual_diff, browser.proxy_rotate et l'appelant de branche fetch inline base_url pour les agents et LLMs, récupéraient des URLs contrôlées par l'utilisateur sans validation via validate_url_with_env_config, permettant ainsi une attaque SSRF (Server-Side Request Forgery) vers des endpoints internes ou de métadonnées. Ce problème est corrigé dans la version 2.26.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.