🇰🇷 한글 설명
Flyto2 Core 2.26.7 미만 버전에서 HTTP 요청을 생성하는 다양한 모듈이 사용자 입력 URL을 적절히 검증하지 않아 SSRF 취약점이 발생합니다. 공격자는 이를 통해 내부 네트워크나 클라우드 메타데이터 엔드포인트에 접근할 수 있습니다.
💡 쉬운 설명
프로그램이 외부 주소를 확인하지 않고 마음대로 접속할 수 있는 허점이 발견되었습니다. 이를 통해 해커가 회사의 내부 시스템이나 중요한 정보가 담긴 서버에 몰래 접근할 수 있습니다.
🇺🇸 원문 (English)
Flyto2 Core is an execution kernel for automation and AI-agent workflows. Prior to 2.26.7, HTTP-emitting modules including src/core/modules/third_party/developer/http/requests.py, core.api.http_get, core.api.http_post, graphql.query, graphql.mutation, monitor.http_check, communication.slack_send, notification.discord.send_message, notification.slack.send_message, notification.teams.send_message, ai.vision_analyze, verify.visual_diff, browser.proxy_rotate, and the agent and llm inline base_url branch fetch caller-controlled URLs without validate_url_with_env_config, allowing SSRF to internal or metadata endpoints. This issue is fixed in version 2.26.7.
📍 영향받는 시스템
Flyto2 Core 2.26.7 미만 모든 버전
⚔️ 공격 벡터
조작된 URL을 HTTP 관련 모듈이나 AI 에이전트 워크플로우에 입력하여 내부 서버로 요청을 유도함
🛡️ 대응 방법
Flyto2 Core를 최신 버전인 2.26.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.26.7보다 낮으면 취약한 상태입니다.
pip show flyto2-core 2>/dev/null | grep -E 'Version'