CVE-2026-67425 in flyto-core
Сводка
по VulDB • 30.07.2026
Flyto2 Core представляет собой ядро выполнения для рабочих процессов автоматизации и AI-агентов. До версии 2.26.6 компонент llm.chat считывает ключи провайдеров, такие как OPENAI_API_KEY и ANTHROPIC_API_KEY, из переменных окружения и отправляет их в заголовке Authorization: Bearer на базовый URL (base_url), контролируемый вызывающей стороной, что позволяет злоумышленнику получить ключ оператора на общедоступном хосте, который проходит проверку SSRF-защиты. Эта проблема исправлена в версии 2.26.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.