CVE-2026-67426 in flyto-core
요약
\~에 의해 VulDB • 2026. 07. 29.
Flyto2 Core는 자동화 및 AI 에이전트 워크플로우를 위한 실행 커널입니다. 버전 2.26.7 이전의 standalone flyto-verification 서비스(src/core/verification_service.py)에서는 0.0.0.0:8344에서 인증되지 않은 POST /run이 노출되며, client-supplied callback_url을 사용하여 outbound POST 요청 시 X-Internal-Key: $FLYTO_RUNNER_SECRET가 사용되지만 target_allowed 우회가 가능하여 인증 없는 SSRF 및 runner secret 탈취가 가능합니다. 이 문제는 버전 2.26.7에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.