CVE-2026-67425 in flyto-core
要約
〜によって VulDB • 2026年07月30日
Flyto2 Coreは、自動化およびAIエージェントのワークフロー用の実行カーネルです。バージョン2.26.6より前では、llm.chatが環境変数からOPENAI_API_KEYやANTHROPIC_API_KEYなどのプロバイダーキーを読み取り、それらをAuthorization: Bearerヘッダーに含めて呼び出し元が制御するbase_urlへ送信するため、攻撃者はSSRFガードを通過して公開ホスト上でオペレーターのキーを取得することが可能でした。この問題はバージョン2.26.6で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.