← Back
CVE-2026-67427
high
CVSS 8.6
Flyto2 Core: ${env.VAR} interpolation reads any env secret despite env.get being denylisted
Summary
Flyto2 Core: ${env.VAR} interpolation reads any env secret despite env.get being denylisted
AI summary openai / gpt-4o
Flyto2 Coreの2.26.6未満のバージョンにおいて、ワークフローバリアブルリゾルバがホスト環境変数を許可リストやポリシーチェックなしに展開する脆弱性があります。これにより、env.getやenv.load_dotenvを介して機密情報が漏洩する可能性があります。バージョン2.26.6でこの問題は修正されています。
❓ What is the problem
Flyto2 Coreのワークフローバリアブルリゾルバが環境変数を許可リストなしで展開する脆弱性。
📍 Affected scope
Flyto2 Coreの2.26.6未満のバージョン。
🔥 Severity
環境変数に関する機密情報が漏洩し、深刻なセキュリティリスクを引き起こす可能性がある。
🔧 How to fix
Flyto2 Coreをバージョン2.26.6にアップデートする。
🛡️ Workaround
情報なし
🔍 Detection
使用しているFlyto2 Coreのバージョンを確認し、2.26.6未満であればアップデートが必要。
Affected packages
pip
flyto-core
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2.26.7"}]}]