Vulnérabilité dans flyto-core (CVE-2026-67427, CVSS 8.6)

Résumé

Vulnérabilité dans flyto-core (CVE-2026-67427). Des informations confidentielles peuvent être exposées. Exploitable via POST /v1/workflow/run. Atténuation : mise à jour vers 2.26.7 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Flyto2 Core is an execution kernel for automation and AI-agent workflows. Prior to 2.26.6, the workflow engine variable resolver expands ${env.VAR} for any host environment variable without an allowlist or capability policy check, allowing a workflow parameter to bypass the default capability policy denylist for env.get and env.load_dotenv and exfiltrate secrets through allowed modules. This issue is fixed in version 2.26.6.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-67427 a été découverte dans flyto2-core.
Des attaquants peuvent cibler un point d'entrée spécifique comme POST /v1/workflow/run à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.6/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « flyto2-core CVE-2026-67427 » sur le site de l'éditeur.

CVE-2026-67427 (flyto2-core) — CWE-522 / CVSS v3 8.6
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : POST /v1/workflow/run / env.get / env.load_dotenv / enforce_module_policy
Versions affectées : < 2.26.6
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Flyto2 Coreのワークフローバリアブルリゾルバが環境変数を許可リストなしで展開する脆弱性。

📍 Périmètre concerné

Flyto2 Coreの2.26.6未満のバージョン。

🔥 Gravité

環境変数に関する機密情報が漏洩し、深刻なセキュリティリスクを引き起こす可能性がある。

🔧 Comment corriger

Flyto2 Coreをバージョン2.26.6にアップデートする。

🛡️ Contournement

情報なし

🔍 Détection

使用しているFlyto2 Coreのバージョンを確認し、2.26.6未満であればアップデートが必要。

Paquets affectés

pip flyto-core

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2.26.7"}]}]

PyPI flyto-core

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2.26.7"}]}]

Références

advisory github.com
advisory nvd.nist.gov
advisory github.com
advisory github.com
package github.com
package pypi.org
patch github.com
web github.com