CVE-2026-55787

Flyto2 Core avtomatlaşdırma və AI-agent iş axınları üçün icra nüvəsidir. Versiya 2.26.3-ə qədər, src/core/utils.py faylındakı validate_url_ssrf və is_private_ip funksiyaları həll edilmiş ünvanları yalnız yerli şəxsi IPv4 və IPv6 diapazonları ilə müqayisə edir və IPv4-maplənmiş, IPv4-uyğun, 6to4 və ya NAT64 keçid ünvanlarını açmır. Autentifikasiya olunmuş iş axını müəllifi Execution API POST /v1/execute marşrutu, http.get və ya oxşar qorunan çıxan sorğu modulları vasitəsilə keçid formasında literal URL təqdim edə bilər ki, bu da qoruyucunun daxilindəki IPv4 ünvanı loopback, RFC 1918 və ya bulud metadata xidmətlərinə yönəlmiş ünvanı qəbul etməsinə səbəb olur. Seçilmiş keçid formasını marşrutlaşdıran hostda çıxan sorğu daxili təyinat nöqtəsinə çatır və cavab gövdəsini iş axımı çağırana qaytarır ki, bu da oxuma SSRF-nə və daxili xidmət məlumatlarının və ya bulud etibarnamələrinin ifşasına imkan verir. Bu problem versiya 2.26.3-də düzəldilib.