CVE-2026-56266

Nome do Software Vulnerável e Versões Afetadas Crawl4AI versões anteriores a 0.8.7

Descrição Diversos problemas de segurança afetam o servidor de API Docker do Crawl4AI. O software é suscetível a Server-Side Request Forgery (SSRF), uma condição na qual um invasor pode induzir o servidor a fazer requisições para um local não pretendido, através dos endpoints '/crawl', '/crawl/stream', '/md', '/llm', '/crawl/job' e '/llm/job'. Atacantes podem burlar listas de bloqueio de endereços internos usando endereços IPv4 mapeados em IPv6 para acessar serviços internos, redes Docker e endpoints de metadados de nuvem. Além disso, os endpoints '/screenshot' e '/pdf' permitem a gravação de arquivos arbitrários através do parâmetro output path, permitindo a sobrescrita de arquivos do servidor. O endpoint '/execute js' permite a execução de JavaScript arbitrário no navegador do servidor. Outros problemas incluem a bypass de autenticação em endpoints de monitoramento, Cross-Site Scripting (XSS) armazenado no painel de monitoramento e uma chave secreta JWT codificada que permite a falsificação de tokens de autenticação.

Recomendações Atualize para a versão 0.8.7 ou posterior. Configure CRAWL4AI API TOKEN para habilitar a autenticação. Configure uma SECRET KEY forte com pelo menos 32 caracteres se estiver usando JWT. Restrinja o acesso de rede à API do Docker. Como mitigação temporária, desabilite o endpoint /execute js usando a variável de ambiente CRAWL4AI EXECUTE JS ENABLED.