PT-2026-110655 · Pypi · Crawl4Ai

CVE-2026-109238

·

Publicado

2026-10-12

·

Atualizado

2026-10-13

CVSS v4.0

9.2

Crítica

VetorAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Crawl4AI versões 0.7.0 até 0.9.3
Description Um problema de server-side request forgery (SSRF) existe onde clientes de API podem acessar endereços internos. Ao habilitar link preview config no endpoint '/crawl', um invasor pode fornecer uma página controlada com include external e include patterns definidos. Isso faz com que a função AsyncUrlSeeder() busque links internos, privados e de metadados de nuvem e retorne seus dados de cabeçalho analisados.
Recommendations Atualize o Crawl4AI para a versão 0.9.4 ou posterior. Como mitigação temporária, evite habilitar link preview config em requisições '/crawl'.

Exploit

Correção

SSRF

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-109238
GHSA-WH5W-HMJ3-VGG7

Produtos afetados

Crawl4Ai