CVE-2026-53754
Təsvir
Crawl4AI açıq mənbəli, LLM ilə uyğun veb krauler və skraperdir. 0.8.8 versiyasından əvvəl Docker API serverinin SSRF qorunması (deploy/docker/utils.py faylında validate_webhook_url / validate_url_destination) açıq IPv4/IPv6 CIDR blok siyahısından istifadə edirdi və bu siyahı bir neçə ünvan ailəsini əhatə etmirdi. Hücumçu daxili IPv4 ünvanını IPv6 keçid formasında kodlaşdırmaqla və ya IPv6 təyin olunmamış ünvanından istifadə etməklə filtrə baxmayaraq daxili xidmətlərə və bulud metadatası son nöqtələrinə (məs. 169.254.169.254) çata bilərdi. Docker API standart olaraq autentifikasiyasız olduğundan (jwt_enabled: false) heç bir etimadnamə tələb olunmur. Bu zəiflik 0.8.8 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- kidocode crawl4ai0.8.8 və ya daha yeni versiya
- crawl4ai0.8.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kidocode crawl4ai | v < 0.8.8 | 0.8.8 |
| crawl4aiPyPI | v < 0.8.8 | 0.8.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.