PT-2026-54027 · Crawl4Ai · Crawl4Ai
CVSS v4.0
9.2
حرجة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Crawl4AI الأقدم من 0.8.7
الوصف
تؤثر مشكلات أمنية متعددة على خادم واجهة برمجة تطبيقات (API) Crawl4AI Docker:
-
تسمح نقطة النهاية
/execute jsبتنفيذ جافا سكريبت تعسفي في سياق متصفح الخادم بسبب تمكين الخيار--disable-web-security، مما يمكن استخدامه لتنفيذ تزوير الطلبات من جانب الخادم (SSRF) ضد الخدمات الداخلية. -
نقاط النهاية
/screenshotو/pdfمعرضة لكتابة ملفات تعسفية عبر المعلمةoutput path، مما يسمح للمهاجمين بالكتابة فوق ملفات الخادم أو الكتابة في أي موقع يمكن لمستخدم التطبيق الكتابة فيه. -
يمكن تنفيذ هجمات SSRF عبر نقاط النهاية
/crawl/jobو/llm/jobباستخدام عناوين URL الخاصة بـ webhook، وكذلك عبر نقاط النهاية/crawlو/crawl/streamو/mdو/llm. يمكن للمهاجمين تجاوز قوائم حظر العناوين الداخلية باستخدام عناوين IPv4 المُخاطبة بـ IPv6 للوصول إلى الخدمات الداخلية ونقاط النهاية الخاصة ببيانات التعريف السحابية. -
توجد ثغرة في تجاوز المصادقة في جهاز توجيه المراقبة، مما يجعل نقاط النهاية مثل
/monitor/actions/cleanupقابلة للوصول دون مصادقة. -
لوحة معلومات المراقبة معرضة لخطر البرمجة النصية عبر المواقع المخزنة (XSS) لأنها تعرض عناوين URL الخاصة بالزحف ورسائل الخطأ باستخدام
innerHTMLدون إجراء الهروب المناسب. -
يستخدم النظام مفتاحًا سريًّا لـ JWT مبرمجًا بشكل ثابت، ويكون افتراضيًّا هو
mysecret، مما يتيح تزوير رموز المصادقة.
التوصيات
التحديث إلى الإصدار 0.8.7 أو أحدث.
تعيين
CRAWL4AI API TOKEN لتمكين المصادقة.تكوين مفتاح
SECRET KEY قوي يتكون من 32استغلال
إصلاح
Code Injection
Missing Authentication
SSRF
Path traversal
XSS
Using Hardcoded Credentials
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Crawl4Ai