← Back
CVE-2026-67425
high
CVSS 8.6
Flyto2 Core: LLM/API keys leak to an attacker-controlled base_url
Summary
Flyto2 Core: LLM/API keys leak to an attacker-controlled base_url
AI summary openai / gpt-4o
Flyto2 Coreのバージョン2.26.6以前には、OPENAI_API_KEYやANTHROPIC_API_KEYなどのプロバイダキーが環境から読み取られ、calllerが制御するbase_urlにAuthorizationヘッダーとして送信されるため、SSRFガードを通過した場合に攻撃者がキーを取得可能になる脆弱性が存在します。この問題はバージョン2.26.6で修正されています。
❓ What is the problem
Flyto2 Coreにおけるプロバイダキー流出の脆弱性
📍 Affected scope
バージョン2.26.6以前のllm.chatモジュール
🔥 Severity
攻撃者がプロバイダキーを取得でき、これを使って不正アクセスを行う可能性があるため、重大
🔧 How to fix
バージョン2.26.6にアップデートすること
🛡️ Workaround
情報なし
🔍 Detection
バージョンを確認し、2.26.6以上であることを確認する
Affected packages
pip
flyto-core
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2.26.7"}]}]