CVE-2026-109237

Nome do Software Vulnerável e Versões Afetadas Crawl4AI versões 0.9.0 até 0.9.3

Descrição Uma falha de bypass no gate de configuração não confiável permite que clientes de API não administradores criem objetos de configuração proibidos usando wrappers do tipo dict. Um invasor pode enviar um objeto LLMConfig manipulado onde o api token é definido como uma referência de ambiente através do endpoint '/config/dump'. Isso permite a leitura não autorizada da SECRET KEY e de chaves de provedores, possibilitando a falsificação de JSON Web Tokens (JWT) de administrador, que é uma forma compacta e autossuficiente de transmitir informações com segurança entre as partes como um objeto JSON.

Recomendações Atualize o Crawl4AI para a versão 0.9.4 ou posterior.