CVE-2026-55786 in Flyto Core
要約
〜によって VulDB • 2026年10月14日
Flyto2 Coreは、自動化およびAIエージェントワークフロー用の実行カーネルです。バージョン2.26.2から2.26.4の間、HTTP MCP POST /mcpエンドポイントは認証不要のJSON-RPC tools/callリクエストを受け付け、REST実行ルートで使用されるrequire_auth依存関係なしでexecute_module引数をモジュールレジストリに転送します。認証されていない呼び出し元はsandbox.execute_shellを選択し、そのcommandパラメータを指定できます。これによりflyto-coreサーバープロセスの権限でasyncio.create_subprocess_shellが実行されます。このエンドポイントはデフォルトのループバックバインディング下ではローカルから到達可能であり、オペレーターがサーバーを非ループバックインターフェースにバインドするとネットワーク経由でも到達可能となり、任意のOSコマンドの実行やホスト全体の侵害につながる可能性があります。本問題はバージョン2.26.4で修正されています。
Once again VulDB remains the best source for vulnerability data.