p PatchFirst

CVE-2026-67427

CVE-2026-67427 · Flyto2 Core: ${env.VAR} interpolation reads any env secret despite env.get being denylisted

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Flyto2 Core is an execution kernel for automation and AI-agent workflows. Prior to 2.26.6, the workflow engine variable resolver expands ${env.VAR} for any host environment variable without an allowlist or capability policy check, allowing a workflow parameter to bypass the default capability policy denylist for env.get and env.load_dotenv and exfiltrate secrets through allowed modules. This issue is fixed in version 2.26.6.

CVSS 8.6 · Alta · EPSS 0,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • flyto-core

    Versiones
    • < 2.26.6: Afectada

    Sin corrección publicada

  • flyto-core PyPI

    Versiones
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0.3
    • 1.0.4
    • 1.0.5
    • 1.0.6
    • 1.0.7
    • 1.0.8
    • 1.0.9
    • 1.1.0
    • 1.1.1
    • 1.11.0
    • 1.12.0
    • 1.13.0
    • 1.14.0
    • 1.14.1
    • 1.14.2
    • 1.15.0
    • 1.16.0
    • 1.16.1
    • 1.16.10
    • 1.16.2
    • 1.16.3
    • 1.16.4
    • 1.16.5
    • 1.16.6
    • 1.16.7
    • 1.16.8
    • 1.16.9
    • 1.2.0
    • 1.3.0
    • 1.4.0
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.4
    • 1.6.0
    • 1.6.1
    • 1.6.2
    • 1.6.3
    • 1.6.4
    • 1.6.5
    • 1.7.0
    • 1.7.1
    • 1.7.2
    • 1.7.3
    • 1.7.4
    • 1.7.5
    • 1.7.6
    • 1.7.7
    • 1.7.8
    • 1.7.9
    • 1.8.0
    • 1.8.1
    • 1.8.10
    • 1.8.11
    • 1.8.12
    • 1.8.13
    • 1.8.14
    • 1.8.15
    • 1.8.16
    • 1.8.17
    • 1.8.2
    • 1.8.3
    • 1.8.4
    • 1.8.5
    • 1.8.6
    • 1.8.7
    • 1.8.8
    • 1.8.9
    • 1.9.0
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.1.0
    • 2.1.1
    • 2.1.2
    • 2.1.3
    • 2.1.4
    • 2.10.0
    • 2.11.0
    • 2.12.0
    • 2.12.1
    • 2.12.13
    • 2.12.15
    • 2.12.16
    • 2.12.17
    • 2.12.18
    • 2.12.19
    • 2.12.2
    • 2.12.20
    • 2.12.21
    • 2.12.22
    • 2.12.23
    • 2.12.24
    • 2.12.25
    • 2.12.26
    • 2.12.27
    • 2.12.28
    • 2.12.3
    • 2.12.4
    • 2.12.5
    • 2.12.6
    • 2.13.0
    • 2.13.1
    • 2.13.2
    • 2.13.3
    • 2.13.4
    • 2.14.0
    • 2.15.0
    • 2.15.1
    • 2.15.2
    • 2.15.3
    • 2.16.1
    • 2.16.3
    • 2.16.4
    • 2.17.0
    • 2.17.1
    • 2.17.2
    • 2.17.3
    • 2.17.4
    • 2.17.5
    • 2.17.6
    • 2.17.7
    • 2.17.8
    • 2.18.0
    • 2.18.1
    • 2.18.10
    • 2.18.11
    • 2.18.2
    • 2.18.3
    • 2.18.4
    • 2.18.5
    • 2.18.6
    • 2.18.8
    • 2.18.9
    • 2.19.0
    • 2.2.0
    • 2.2.1
    • 2.2.2
    • 2.20.0
    • 2.20.1
    • 2.20.2
    • 2.20.3
    • 2.20.4
    • 2.23.0
    • 2.23.1
    • 2.23.2
    • 2.23.3
    • 2.24.0
    • 2.24.1
    • 2.24.2
    • 2.24.3
    • 2.24.4
    • 2.25.0
    • 2.25.1
    • 2.25.10
    • 2.25.11
    • 2.25.12
    • 2.25.13
    • 2.25.14
    • 2.25.15
    • 2.25.16
    • 2.25.17
    • 2.25.18
    • 2.25.19
    • 2.25.2
    • 2.25.20
    • 2.25.21
    • 2.25.22
    • 2.25.23
    • 2.25.24
    • 2.25.25
    • 2.25.26
    • 2.25.27
    • 2.25.3
    • 2.25.4
    • 2.25.5
    • 2.25.6
    • 2.25.7
    • 2.25.8
    • 2.25.9
    • 2.26.0
    • 2.26.1
    • 2.26.2
    • 2.26.3
    • 2.26.4
    • 2.26.5
    • 2.3.0
    • 2.3.1
    • 2.4.0
    • 2.4.1
    • 2.4.2
    • 2.4.3
    • 2.4.4
    • 2.4.5
    • 2.4.6
    • 2.4.7
    • 2.5.0
    • 2.5.1
    • 2.5.2
    • 2.6.0
    • 2.6.1
    • 2.7.0
    • 2.7.1
    • 2.7.2
    • 2.7.3
    • 2.7.4
    • 2.7.5
    • 2.7.6
    • 2.8.0
    • 2.9.0
    Intervalos de versiones afectados
    • ECOSYSTEM: < 2.26.7

    Actualiza a 2.26.7

Fuentes originales

Comprueba tu servidor →