CVE-2026-53753
Açıklama
Crawl4AI, açık kaynaklı ve LLM dostu bir web crawler ve scraper'dır. 0.8.7 sürümünden önce, hesaplanmış alanlar özelliğindeki _safe_eval_expression() fonksiyonu, yalnızca alt çizgi ile başlayan öznitelikleri engelleyen bir AST doğrulayıcısı kullanmaktadır. Python generator ve frame nesnesi öznitelikleri (gi_frame, f_back, f_builtins) alt çizgi ile başlamadığından, rastgele kod çalıştırmayı sağlayacak tam bir sandbox kaçışına olanak tanımaktadır. Saldırı herhangi bir kimlik doğrulama gerektirmez (JWT varsayılan olarak devre dışıdır) ve özel olarak hazırlanmış bir çıkarım şemasıyla POST /crawl üzerinden tetiklenir. Bu güvenlik açığı 0.8.7 sürümünde giderilmiştir.
Nasıl düzeltilir
- kidocode crawl4ai0.8.7 ya da sonraki bir sürüm
- crawl4ai0.8.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kidocode crawl4ai | v < 0.8.7 | 0.8.7 |
| crawl4aiPyPI | v < 0.8.7 | 0.8.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.