C240030

**Nome do Software Vulnerável e Versões Afetadas** Crawl4AI versões anteriores a 0.9.3 **Description** Um problema de consumo descontrolado de recursos existe na `PDFContentScrapingStrategy` que permite que clientes não confiáveis causem a negação de serviço. Atacantes podem disparar isso ao selecionar a estratégia de raspagem de PDF em requisições POST para baixar PDFs remotos grandes sem limites de tamanho ou de páginas, o que esgota o espaço em disco, CPU e largura de banda em workers compartilhados. **Recommendations** Atualize para a versão 0.9.3 ou posterior. Como mitigação temporária, restrinja o uso da `PDFContentScrapingStrategy` em requisições POST.

**Nome do Software Vulnerável e Versões Afetadas** crawl4ai versões anteriores a 0.9.3 **Description** A UI do Docker Playground contém um problema de cross-site scripting baseado em DOM onde resultados de rastreamento não confiáveis são atribuídos ao `element.innerHTML`. Isso permite que atacantes usem PDFs maliciosos contendo marcações de manipuladores de eventos para executar JavaScript na origem do Playground. Essa execução pode ser usada para roubar tokens de API do `sessionStorage`, levando ao abuso autenticado da API. **Recommendations** Atualize o crawl4ai para a versão 0.9.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Crawl4AI versões anteriores a 0.9.3 **Description** Existe um problema no `PDFContentScrapingStrategy` onde a função ` get pdf path()` faz o download de alvos usando Python requests sem realizar a validação de saída (egress validation). Isso permite que atacantes autenticados forneçam URLs que redirecionam para endereços internos ou utilizem DNS rebinding—uma técnica usada para ignorar controles de segurança alterando o endereço IP associado a um nome de domínio—para acessar serviços internos. As respostas desses serviços internos podem então ser exfiltradas por meio da extração de texto de PDF nos resultados do rastreamento. **Recommendations** Atualize para a versão 0.9.3 ou posterior.