CVE-2026-26216
Təsvir
Crawl4AI-ın 0.8.0 versiyasından əvvəlki versiyalarında Docker API tətbiqində uzaqdan kodun icrası zəifliyi mövcuddur. /crawl son nöqtəsi (endpoint), exec() vasitəsilə icra edilən Python kodu ehtiva edən hooks parametrini qəbul edir. __import__ daxili funksiyası icazə verilən daxili funksiyalara daxil edilib ki, bu da autentifikasiya olunmamış uzaq hücumçulara ixtiyari modulları idxal etməyə və sistem əmrlərini icra etməyə imkan verir. Uğurlu istismar, ixtiyari əmrlərin icrası, faylların oxunması və yazılmasına giriş, həssas məlumatların sızdırılması və daxili şəbəkələrdə lateral hərəkət də daxil olmaqla, serverin tam kompromisə uğramasına səbəb olur.
Necə düzəltmək olar
- kidocode crawl4ai0.8.0 və ya daha yeni versiya
- crawl4ai0.8.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kidocode crawl4ai | v < 0.8.0 | 0.8.0 |
| crawl4aiPyPI | v < 0.8.0 | 0.8.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.