CVE-2026-56258
Açıklama
0.8.8 sürümünden önceki Crawl4AI, screenshot ve PDF uç noktalarında, kimliği doğrulanmamış saldırganların output_path parametresi üzerinde sembolik bağlantı (symlink) ve kontrol zamanı ile kullanım zamanı arasındaki farktan yararlanan (TOCTOU) saldırılar aracılığıyla hedeflenen dizinin dışına dosya yazmasına izin veren bir rastgele dosya yazma zafiyeti içermektedir. Uzaktaki saldırganlar, yetersiz yol doğrulamasını ve sembolik bağlantıları takip etme özelliğini kullanarak, çalışma zamanı kullanıcısının yürütülebilir dosyalara veya cron konumlarına yazma erişiminin olduğu sistemlerde rastgele dosya yazma ve potansiyel kod çalıştırma işlemleri gerçekleştirebilirler.
Nasıl düzeltilir
- kidocode crawl4ai0.8.8 ya da sonraki bir sürüm
- crawl4ai0.8.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kidocode crawl4ai | v < 0.8.8 | 0.8.8 |
| crawl4aiPyPI | v < 0.8.8 | 0.8.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.