PT-2026-54027

CVE-2026-56264

Publicado

2026-06-16

Atualizado

2026-07-12

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Crawl4AI versões anteriores a 0.8.7

Description Múltiplos problemas de segurança afetam o servidor de API Docker do Crawl4AI:

O endpoint /execute js permite a execução de JavaScript arbitrário no contexto do navegador do servidor porque a opção --disable-web-security está ativada, o que pode ser usado para realizar server-side request forgery (SSRF) contra serviços internos.
Os endpoints /screenshot e /pdf são suscetíveis à gravação arbitrária de arquivos através do parâmetro output path, permitindo que invasores sobrescrevam arquivos do servidor ou gravem em qualquer local gravável pelo usuário do aplicativo.
SSRF é possível através dos endpoints /crawl/job e /llm/job via URLs de webhook, bem como através dos endpoints /crawl, /crawl/stream, /md e /llm. Invasores podem ignorar listas de bloqueio de endereços internos usando endereços IPv4 mapeados em IPv6 para acessar serviços internos e endpoints de metadados de nuvem.
Existe uma falha de bypass de autenticação no roteador de monitoramento, tornando endpoints como /monitor/actions/cleanup acessíveis sem autenticação.
O painel de monitoramento é vulnerável a cross-site scripting (XSS) armazenado porque renderiza URLs de rastreamento e mensagens de erro usando innerHTML sem a devida filtragem.
O sistema utiliza uma chave secreta JWT hardcoded com o valor padrão mysecret, permitindo a falsificação de tokens de autenticação.

Recommendations Atualize para a versão 0.8.7 ou posterior. Configure CRAWL4AI API TOKEN para habilitar a autenticação. Configure uma SECRET KEY forte com pelo menos 32 caracteres para JWT. Restrinja o acesso de rede à API do Docker. Como mitigação temporária, desative o endpoint /execute js definindo a variável de ambiente CRAWL4AI EXECUTE JS ENABLED como falsa.

Explorabilidade

Exploit

Correção

Impactos