CVE-2026-55786 in Flyto Core
Сводка
по VulDB • 14.10.2026
Flyto2 Core — это ядро выполнения для рабочих процессов автоматизации и AI-агентов. В версиях с 2.26.2 по 2.26.4 маршрут HTTP MCP POST /mcp принимает неавторизованные запросы JSON-RPC tools/call и передает аргументы execute_module в реестр модулей без использования зависимости require_auth, которая применяется маршрутами выполнения REST. Неавторизованный вызывающий может выбрать sandbox.execute_shell и передать параметр команды, который достигает asyncio.create_subprocess_shell с привилегиями процесса сервера flyto-core. Точка доступа доступна локально при связывании по умолчанию на loopback-интерфейсе и становится доступной через сеть, когда оператор связывает сервер с не-loopback интерфейсом, что позволяет выполнять произвольные команды ОС и потенциально приводит к полному компрометированию хоста. Эта проблема исправлена в версии 2.26.4.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.