CVE-2026-53753

إصدارات Crawl4AI السابقة للإصدار 0.8.7

تستخدم الدالة safe eval expression() في ميزة الحقول المحسوبة أداة التحقق من صحة AST (شجرة النحو المجردة) التي تحظر فقط السمات التي تبدأ بشرطة سفلية. ونظرًا لأن سمات مولدات Python وكائنات الإطارات مثل gi frame وf back وf builtins لا تبدأ بشرطة سفلية، فيمكن استخدامها للهروب من بيئة الحماية (sandbox) وتنفيذ تعليمات برمجية تعسفية. يمكن لمهاجم غير مصدق هويته تشغيل هذه الثغرة عن طريق إرسال طلب «POST /crawl» مع مخطط JsonCssExtractionStrategy مُعد خصيصًا يحتوي على تعبير حقل محسوب ضار. وهذا يسمح للمهاجم بالوصول إلى سلسلة الإطارات، والوصول إلى f builtins لاستيراد وحدة os، وتنفيذ أوامر نظام تعسفية داخل حاوية Docker، مما قد يؤدي إلى الوصول إلى نظام الملفات وتسريب المعلومات السرية.

التحديث إلى الإصدار 0.8.7.

تمكين مصادقة JWT عبر متغير البيئة CRAWL4AI API TOKEN.

تقييد الوصول الشبكي إلى واجهة برمجة تطبيقات Docker.