CVE-2026-56258

Nome do Software Vulnerável e Versões Afetadas Crawl4AI versões anteriores a 0.8.8

Descrição Um problema de gravação arbitrária de arquivos existe nos endpoints de screenshot e PDF. Atacantes remotos não autenticados podem gravar arquivos fora do diretório pretendido explorando a validação de caminho insuficiente e o seguimento de links simbólicos através do parâmetro output path. Isso é alcançado por meio de ataques de symlink e time-of-check-time-of-use (TOCTOU)—uma condição de corrida onde um sistema verifica uma condição (como um caminho de arquivo) e então usa o resultado, mas a condição muda entre a verificação e o uso. Isso pode levar à potencial execução de código se o usuário de tempo de execução tiver acesso de gravação a locais executáveis ou de cron.

Recomendações Atualize para a versão 0.8.8 ou posterior. Evite usar o parâmetro output path nos endpoints de screenshot e PDF até que a atualização seja aplicada.