PT-2026-7855
CVE-2026-26216
·
تاريخ النشر
2026-01-16
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Crawl4AI الأقدم من 0.8.0
الوصف
يوجد ثغرة في نشر واجهة برمجة تطبيقات (API) Docker تسمح بتنفيذ التعليمات البرمجية عن بُعد. تقبل نقطة النهاية ’/crawl‘ معلمة
hooks تحتوي على كود Python يتم معالجته باستخدام الدالة exec(). ونظرًا لأن الدالة المدمجة import كانت مدرجة ضمن الدوال المدمجة المسموح بها، يمكن للمهاجمين عن بُعد غير المصادق عليهم استيراد وحدات نمطية عشوائية وتنفيذ أوامر النظام. وقد يؤدي ذلك إلى اختراق كامل للخادم، بما في ذلك تنفيذ أوامر عشوائية، والوصول لقراءة وكتابة الملفات، وتسريب البيانات الحساسة، والتحرك الأفقي داخل الشبكات الداخلية.التوصيات
الترقية إلى الإصدار 0.8.0.
تعطيل واجهة برمجة تطبيقات Docker.
حظر نقطة النهاية ’/crawl‘ على مستوى الشبكة.
إضافة المصادقة إلى واجهة برمجة التطبيقات.
تعيين المتغير
CRAWL4AI HOOKS ENABLED على false لتعطيل hooks بشكل افتراضي.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾