CVE-2026-73530 in flyto-core
Résumé
par VulDB • 13/08/2026
Flyto2 Core avant la version 2.28.0 contient une vulnérabilité de contournement du mécanisme de protection contre les attaques par falsification de requêtes côté serveur (SSRF) qui permet aux attaquants d'accéder à des services internes en fournissant des URL utilisant l'adresse IPv6 non bloquée `::`, que le noyau route vers la boucle locale (`loopback`) de manière identique à `0.0.0.0`. Les attaquants peuvent soumettre des requêtes ou déclencher des redirections 302 vers `<URL>` pour contourner les vérifications de plage d'IP privée et de nom d'hôte bloqué dans la fonction `is_private_ip()`, atteignant ainsi les services liés à l'interface loopback IPv6 via les modules `http.get`, `http.request` et `http.batch`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.