CVE-2026-26217
Açıklama
0.8.0 öncesindeki Crawl4AI sürümleri, Docker API dağıtımında yerel dosya dahil etme (local file inclusion) zafiyeti içermektedir. /execute_js, /screenshot, /pdf ve /html uç noktaları file:// URL'lerini kabul ederek, kimliği doğrulanmamış uzaktan saldırganların sunucu dosya sisteminden rastgele dosyaları okumasına izin vermektedir. Bir saldırgan; /etc/passwd, /etc/shadow gibi hassas dosyalara, uygulama yapılandırma dosyalarına ve /proc/self/environ üzerinden ortam değişkenlerine erişerek kimlik bilgilerini, API anahtarlarını ve dahili uygulama yapısını potansiyel olarak açığa çıkarabilir.
Nasıl düzeltilir
- kidocode crawl4ai0.8.0 ya da sonraki bir sürüm
- crawl4ai0.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kidocode crawl4ai | v < 0.8.0 | 0.8.0 |
| crawl4aiPyPI | v < 0.8.0 | 0.8.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.