Summary
Vulnerability in flyto-core (CVE-2026-67427). Confidential information can be exposed externally. Exploitable via POST /v1/workflow/run. Mitigation: upgrade to 2.26.7 or later.
Original description
The description as published by the source.
Flyto2 Core is an execution kernel for automation and AI-agent workflows. Prior to 2.26.6, the workflow engine variable resolver expands ${env.VAR} for any host environment variable without an allowlist or capability policy check, allowing a workflow parameter to bypass the default capability policy denylist for env.get and env.load_dotenv and exfiltrate secrets through allowed modules. This issue is fixed in version 2.26.6.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Flyto2 Coreの2.26.6未満のバージョンにおいて、ワークフローバリアブルリゾルバがホスト環境変数を許可リストやポリシーチェックなしに展開する脆弱性があります。これにより、env.getやenv.load_dotenvを介して機密情報が漏洩する可能性があります。バージョン2.26.6でこの問題は修正されています。
Flyto2 Coreのワークフローバリアブルリゾルバが環境変数を許可リストなしで展開する脆弱性。
Flyto2 Coreの2.26.6未満のバージョン。
環境変数に関する機密情報が漏洩し、深刻なセキュリティリスクを引き起こす可能性がある。
Flyto2 Coreをバージョン2.26.6にアップデートする。
情報なし
使用しているFlyto2 Coreのバージョンを確認し、2.26.6未満であればアップデートが必要。
Affected packages
References
- advisory github.com
- advisory nvd.nist.gov
- advisory github.com
- advisory github.com
- package github.com
- package pypi.org
- patch github.com
- web github.com