CVE-2026-109237

Crawl4AI przed wersją 0.8.7 zawiera podatność umożliwiającą dowolny zapis plików w endpointach /screenshot i /pdf serwera API Docker. Parametr output_path akceptuje dowolne ścieżki systemowe bez walidacji, co pozwala atakującemu na nadpisanie plików serwera i spowodowanie odmowy usługi.

Crawl4AI przed wersją 0.9.0 zawiera podatność w API Dockera, która pozwala na wstrzyknięcie argumentów do przeglądarki Chromium. Atakujący może wykorzystać przełączniki Chromium do podmiany polecenia uruchomienia procesu potomnego, co prowadzi do wykonania dowolnego kodu w kontenerze.

W bibliotece Crawl4AI przed wersją 0.9.0 wykryto podatność na zapis dowolnego pliku. Atakujący może wpłynąć na nazwę pliku docelowego poprzez nagłówek Content-Disposition lub sugerowaną nazwę pliku, co umożliwia zapis pliku poza katalogiem docelowym. Może to prowadzić do zdalnego wykonania kodu.

Crawl4AI przed wersją 0.8.7 zawiera podatność w funkcji _safe_eval_expression() w mechanizmie computed fields. Walidator AST blokuje tylko atrybuty zaczynające się od podkreślenia, ale atrybuty obiektów generatora i ramki (gi_frame, f_back, f_builtins) nie zaczynają się od podkreślenia, co umożliwia całkowitą ucieczkę z sandboksa i wykonanie dowolnego kodu. Atak nie wymaga uwierzytelnienia (JWT domyślnie wyłączone) i jest wyzwalany przez POST /crawl z spreparowanym schematem ekstrakcji.

Crawl4AI w wersjach przed 0.8.0 zawiera podatność zdalnego wykonania kodu w API Docker. Punkt końcowy /crawl akceptuje parametr hooks zawierający kod Python, który jest wykonywany za pomocą exec(). Dozwolone wbudowane funkcje obejmowały __import__, co pozwala nieuwierzytelnionym atakującym na importowanie dowolnych modułów i wykonywanie poleceń systemowych.

Crawl4AI przed 0.9.4 zawiera podatność ślepego fałszerstwa żądań po stronie serwera w RobotsParser.can_fetch, która pozwala nieuwierzytelnionym atakującym ominąć kontrolę egress Docker. Atakujący mogą włączyć check_robots_txt i użyć przekierowań lub rebindingu DNS, aby dotrzeć do wewnętrznych, pętli zwrotnej lub adresów metadanych chmury w celu wykrywania usług.

Crawl4AI w wersjach od 0.7.0 do 0.9.4 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF), która pozwala klientom API na dostęp do wewnętrznych adresów poprzez włączenie link_preview_config w żądaniach /crawl. Atakujący mogą dostarczyć kontrolowaną stronę z ustawionymi include_external i include_patterns, co powoduje, że AsyncUrlSeeder pobiera wewnętrzne, prywatne i cloud-metadata linki i zwraca ich sparsowane dane nagłówka.

crawl4ai w wersjach przed 0.9.3 zawiera podatność na DOM-based cross-site scripting w interfejsie Playground UI, gdzie funkcja forceHighlightElement() przypisuje textContent z powrotem do innerHTML, ponownie parsując odpowiedzi JSON jako HTML. Atakujący mogą wstrzyknąć złośliwe skrypty poprzez zawartość przeglądanej strony, taką jak tytuł strony.

Crawl4AI przed wersją 0.9.3 zawiera podatność na podrabianie żądań po stronie serwera (SSRF) w strategii PDFContentScrapingStrategy, gdzie funkcja _get_pdf_path() ponownie pobiera cele za pomocą Python requests bez walidacji egress. Uwierzytelnieni atakujący mogą dostarczyć adresy URL, które przekierowują na wewnętrzne adresy lub użyć DNS rebinding, aby uzyskać dostęp do wewnętrznych usług, eksfiltrując odpowiedzi poprzez ekstrakcję tekstu PDF w wynikach przeszukiwania.

crawl4ai przed 0.9.3 zawiera podatność na DOM-based cross-site scripting w interfejsie Docker Playground UI, który przypisuje niezaufane wyniki przeglądania do element.innerHTML. Atakujący mogą spreparować złośliwe pliki PDF ze znacznikami obsługi zdarzeń, aby wykonać JavaScript w origin Playground.