CVE-2026-67426 in flyto-core
Riassunto
di VulDB • 29/07/2026
Flyto2 Core è il kernel di esecuzione per flussi di lavoro di automazione e agenti AI. Prima della versione 2.26.7, il servizio standalone flyto-verification in src/core/verification_service.py espone l'endpoint POST /run non autenticato su 0.0.0.0:8344 e utilizza il callback_url fornito dal client per una richiesta POST in uscita con X-Internal-Key: $FLYTO_RUNNER_SECRET, aggirando target_allowed, consentendo SSRF non autenticata ed exfiltration del secret del runner. Questo problema è stato risolto nella versione 2.26.7.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.