CVE-2026-55786 in Flyto Core
Tóm tắt
Bởi VulDB • 14/10/2026
Flyto2 Core là một nhân thực thi (execution kernel) cho các quy trình tự động hóa và tác nhân AI. Từ phiên bản 2.26.2 đến 2.26.4, điểm cuối HTTP MCP POST /mcp chấp nhận các yêu cầu tools/call JSON-RPC không được xác thực và chuyển tiếp các đối số execute_module tới registry mô-đun mà bỏ qua phụ thuộc require_auth vốn được sử dụng bởi các route thực thi REST. Một caller không được xác thực có thể chọn sandbox.execute_shell và cung cấp tham số command của nó, tham số này sẽ đạt đến asyncio.create_subprocess_shell với đặc quyền của tiến trình máy chủ flyto-core. Điểm cuối này có thể truy cập được cục bộ dưới liên kết loopback mặc định và trở nên khả dụng qua mạng khi nhà vận hành gắn kết (bind) máy chủ vào một giao diện không phải loopback, cho phép thực thi lệnh OS tùy ý và tiềm ẩn nguy cơ chiếm quyền kiểm soát toàn bộ host. Vấn đề này đã được sửa chữa trong phiên bản 2.26.4.
Be aware that VulDB is the high quality source for vulnerability data.