p PatchFirst

CVE-2026-67427

CVE-2026-67427 · Flyto2 Core: ${env.VAR} interpolation reads any env secret despite env.get being denylisted

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Flyto2 Core is an execution kernel for automation and AI-agent workflows. Prior to 2.26.6, the workflow engine variable resolver expands ${env.VAR} for any host environment variable without an allowlist or capability policy check, allowing a workflow parameter to bypass the default capability policy denylist for env.get and env.load_dotenv and exfiltrate secrets through allowed modules. This issue is fixed in version 2.26.6.

CVSS 8.6 · Hoch · EPSS 0,4% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: python

Betroffene Produkte und Versionen

  • flyto-core

    Softwareversionen
    • < 2.26.6: Betroffen

    Keine Korrektur veröffentlicht

  • flyto-core PyPI

    Softwareversionen
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.0.4
    • 1.0.5
    • 1.0.6
    • 1.0.7
    • 1.0.8
    • 1.0.9
    • 1.1.0
    • 1.1.1
    • 1.11.0
    • 1.12.0
    • 1.13.0
    • 1.14.0
    • 1.14.1
    • 1.14.2
    • 1.15.0
    • 1.16.0
    • 1.16.1
    • 1.16.10
    • 1.16.2
    • 1.16.3
    • 1.16.4
    • 1.16.5
    • 1.16.6
    • 1.16.7
    • 1.16.8
    • 1.16.9
    • 1.2.0
    • 1.3.0
    • 1.4.0
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.4
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.3
    • 1.7.4
    • 1.7.5
    • 1.7.6
    • 1.7.7
    • 1.7.8
    • 1.7.9
    • 1.8.0
    • 1.8.1
    • 1.8.10
    • 1.8.11
    • 1.8.12
    • 1.8.13
    • 1.8.14
    • 1.8.15
    • 1.8.16
    • 1.8.17
    • 1.8.2
    • 1.8.3
    • 1.8.4
    • 1.8.5
    • 1.8.6
    • 1.8.7
    • 1.8.8
    • 1.8.9
    • 1.9.0
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.10.0
    • 2.11.0
    • 2.12.0
    • 2.12.1
    • 2.12.13
    • 2.12.15
    • 2.12.16
    • 2.12.17
    • 2.12.18
    • 2.12.19
    • 2.12.2
    • 2.12.20
    • 2.12.21
    • 2.12.22
    • 2.12.23
    • 2.12.24
    • 2.12.25
    • 2.12.26
    • 2.12.27
    • 2.12.28
    • 2.12.3
    • 2.12.4
    • 2.12.5
    • 2.12.6
    • 2.13.0
    • 2.13.1
    • 2.13.2
    • 2.13.3
    • 2.13.4
    • 2.14.0
    • 2.15.0
    • 2.15.1
    • 2.15.2
    • 2.15.3
    • 2.16.1
    • 2.16.3
    • 2.16.4
    • 2.17.0
    • 2.17.1
    • 2.17.2
    • 2.17.3
    • 2.17.4
    • 2.17.5
    • 2.17.6
    • 2.17.7
    • 2.17.8
    • 2.18.0
    • 2.18.1
    • 2.18.10
    • 2.18.11
    • 2.18.2
    • 2.18.3
    • 2.18.4
    • 2.18.5
    • 2.18.6
    • 2.18.8
    • 2.18.9
    • 2.19.0
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.20.0
    • 2.20.1
    • 2.20.2
    • 2.20.3
    • 2.20.4
    • 2.23.0
    • 2.23.1
    • 2.23.2
    • 2.23.3
    • 2.24.0
    • 2.24.1
    • 2.24.2
    • 2.24.3
    • 2.24.4
    • 2.25.0
    • 2.25.1
    • 2.25.10
    • 2.25.11
    • 2.25.12
    • 2.25.13
    • 2.25.14
    • 2.25.15
    • 2.25.16
    • 2.25.17
    • 2.25.18
    • 2.25.19
    • 2.25.2
    • 2.25.20
    • 2.25.21
    • 2.25.22
    • 2.25.23
    • 2.25.24
    • 2.25.25
    • 2.25.26
    • 2.25.27
    • 2.25.3
    • 2.25.4
    • 2.25.5
    • 2.25.6
    • 2.25.7
    • 2.25.8
    • 2.25.9
    • 2.26.0
    • 2.26.1
    • 2.26.2
    • 2.26.3
    • 2.26.4
    • 2.26.5
    • 2.3.0
    • 2.3.1
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    • 2.4.6
    • 2.4.7
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.6.0
    • 2.6.1
    • 2.7.0
    • 2.7.1
    • 2.7.2
    • 2.7.3
    • 2.7.4
    • 2.7.5
    • 2.7.6
    • 2.8.0
    • 2.9.0
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 2.26.7

    Auf 2.26.7 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →