Pypi · Crawl4Ai · CVE-2026-57571
**Nome do Software Vulnerável e Versões Afetadas**
Crawl4AI versões anteriores a 0.9.0
**Description**
Um problema ocorre quando o crawler salva arquivos baixados, pois o nome do arquivo de destino é derivado de entradas influenciadas por atacantes e unido ao diretório de downloads sem o devido confinamento. Isso permite a gravação arbitrária de arquivos com conteúdos controlados por atacantes via path traversal—uma técnica usada para acessar arquivos e diretórios fora da pasta pretendida—utilizando um caminho absoluto ou sequências de travessia. O caminho do crawler HTTP utiliza o nome do arquivo `Content-Disposition`, enquanto o caminho do crawler de navegador utiliza o nome de download sugerido. Essa falha pode levar à execução remota de código, permitindo que um atacante execute comandos arbitrários no sistema hospedeiro.
**Recommendations**
Atualize para a versão 0.9.0.
Desative o salvamento de arquivos como medida de mitigação temporária.
Implemente sandboxing para restringir o ambiente do crawler.