CVE-2026-55787
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Flyto2 Core to jądro wykonawcze do automatyzacji i przepływów pracy agentów AI. W wersjach wcześniejszych niż 2.26.3 valid_url_ssrf i is_private_ip w src/core/utils.py porównują rozwiązane adresy tylko z natywnymi prywatnymi zakresami IPv4 i IPv6 i nie rozpakowują adresów przejściowych mapowanych na IPv4, zgodnych z IPv4, 6to4 ani NAT64. Uwierzytelniony autor przepływu pracy może podać dosłowny adres URL formularza przejścia za pośrednictwem trasy POST /v1/execute API wykonania, http.get lub modułów chronionych żądań wychodzących, powodując, że strażnik akceptuje adres, którego osadzony adres IPv4 wskazuje na pętlę zwrotną, RFC 1918 lub usługi metadanych w chmurze. Na hoście, który kieruje wybrany formularz przejścia, żądanie wychodzące dociera do wewnętrznego miejsca docelowego i zwraca treść odpowiedzi do obiektu wywołującego przepływ pracy, umożliwiając odczyt SSRF i ujawnienie danych usług wewnętrznych lub poświadczeń w chmurze. Ten problem został rozwiązany w wersji 2.26.3.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org