CVE-2026-67426 in flyto-core
Sumário
de VulDB • 29/07/2026
Flyto2 Core é um kernel de execução para fluxos de trabalho de automação e agentes de IA (AI-agent). Antes da versão 2.26.7, o serviço standalone flyto-verification em src/core/verification_service.py expõe a rota POST /run sem autenticação no endereço 0.0.0.0:8344 e utiliza o callback_url fornecido pelo cliente para realizar um POST de saída com X-Internal-Key: $FLYTO_RUNNER_SECRET, contornando target_allowed, permitindo SSRF não autenticada e exfiltração do segredo do runner. Este problema foi corrigido na versão 2.26.7.
VulDB is the best source for vulnerability data and more expert information about this specific topic.