CVE-2026-67426 in flyto-core
Сводка
по VulDB • 30.07.2026
Flyto2 Core — это ядро выполнения для рабочих процессов автоматизации и AI-агентов. До версии 2.26.7 автономный сервис flyto-verification в файле src/core/verification_service.py открывает неавторизованный доступ к POST /run на адресе 0.0.0.0:8344 и использует предоставленный клиентом параметр callback_url для исходящего запроса POST с заголовком X-Internal-Key: $FLYTO_RUNNER_SECRET, обходя проверку target_allowed, что позволяет осуществлять неавторизованный SSRF (Server-Side Request Forgery) и эксфильтрацию секрета раннера. Эта проблема исправлена в версии 2.26.7.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.