CVE-2026-67426

Nome do Software Vulnerável e Versões Afetadas Flyto2 Core versões anteriores a 2.26.7

Descrição O serviço independente flyto-verification em src/core/verification service.py expõe um endpoint POST '/run' não autenticado em 0.0.0.0:8344. O serviço utiliza uma callback url fornecida pelo cliente para uma requisição POST de saída que inclui o cabeçalho X-Internal-Key contendo o valor $FLYTO RUNNER SECRET. Este processo ignora a verificação target allowed, permitindo Server-Side Request Forgery (SSRF) não autenticado — uma técnica onde um invasor força um servidor a fazer requisições para um local não pretendido — e a exfiltração do segredo do executor.

Recomendações Atualizar para a versão 2.26.7. Restringir o acesso ao endpoint '/run' no serviço flyto-verification para minimizar o risco de exploração.