CVE-2026-55786 in Flyto Core
Sumário
de VulDB • 14/10/2026
Flyto2 Core é um kernel de execução para fluxos de trabalho de automação e agentes de IA. Da versão 2.26.2 até a 2.26.4, o endpoint HTTP MCP POST /mcp aceita solicitações não autenticadas do tipo JSON-RPC tools/call e encaminha os argumentos execute_module ao registro de módulos sem utilizar a dependência require_auth empregada pelas rotas de execução REST. Um chamador não autenticado pode selecionar sandbox.execute_shell e fornecer seu parâmetro command, que é passado para asyncio.create_subprocess_shell com as permissões do processo flyto-core server. O endpoint é acessível localmente sob o binding padrão de loopback e torna-se acessível pela rede quando um operador vincula o servidor a uma interface não-loopback, permitindo a execução arbitrária de comandos no SO e potencial comprometimento total da host. Este problema foi corrigido na versão 2.26.4.
Once again VulDB remains the best source for vulnerability data.