Flyto2 Core: Nicht authentifizierte Befehlsausführung über HTTP-MCP-Endpunkt

Zusammenfassung

Flyto2 Core, eine Ausführungsumgebung für Automatisierungs- und KI-Agenten-Workflows, akzeptiert auf der HTTP-MCP-Route POST /mcp JSON-RPC-Aufrufe vom Typ tools/call ohne Authentifizierung. Ein nicht authentifizierter Angreifer kann über execute_module das Modul sandbox.execute_shell aufrufen und beliebige Betriebssystembefehle mit den Rechten des flyto-core-Serverprozesses ausführen, was zur vollständigen Kompromittierung des Hosts führen kann. Der Endpunkt ist bei der Standard-Loopback-Bindung lokal erreichbar und aus dem Netzwerk, sobald der Server an eine Nicht-Loopback-Schnittstelle gebunden ist.

Betroffen

• flyto-core (PyPI) ab 2.26.2 bis vor 2.26.4
• Herstellerangaben: betroffene Versionen 2.26.2 bis 2.26.4 (exklusive)
• VulDB nennt den Bereich bis 2.26.3 (anders formuliert, aber mit der Korrektur in 2.26.4 vereinbar)

Behoben in

• Behoben in Version 2.26.4 (Herstellerversion v2.26.4)

Umgehung

Unbekannt. Der Hersteller dokumentiert keine Workaround-Massnahme; das Aktualisieren auf 2.26.4 oder neuer ist die Korrektur.

Ausnutzung

• CISA SSVC: Ausnutzung PoC, automatisierbar nein, technische Auswirkung total
• CISA KEV: nicht gelistet
• Ein öffentlich verfügbarer Proof of Concept scheint zu existieren; dessen Herkunft ist nicht verifiziert
• Ausnutzung in freier Wildbahn: unbekannt
• Der CVSS-3.1-Vektor ist laut CNA lokal (AV:L); VulDB bewertet mit 10.0 kritisch

Unsere Empfehlung

• Alle flyto-core-Instanzen auf Version 2.26.4 oder neuer aktualisieren, zuerst jene, die aus dem Netzwerk erreichbar sind oder auf gemeinsam genutzten Hosts laufen
• Server auf 127.0.0.1 belassen und dessen Port an der Firewall blockieren
• /mcp nicht über einen Reverse Proxy veröffentlichen
• Dienst unter einem Konto mit minimalen Rechten betreiben
• Falls eine Instanz im verwundbaren Zustand aus dem Netzwerk erreichbar war, Logs auf unerwartete POST-/mcp-Anfragen prüfen und den Host bis zur Prüfung als potenziell kompromittiert betrachten
• Versionsangaben gegen die primäre GitHub-Advisory prüfen, da diese nicht direkt geöffnet wurde

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record fix commit (GitHub) github.com
• flyto-core release v2.26.4 github.com
• GHSA-h9f9-h6gm-wc85 vendor advisory github.com
• GitLab advisory CVE-2026-55786 advisories.gitlab.com
• OSV GHSA-h9f9-h6gm-wc85 osv.dev
• VulDB entry 420308 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:25.