CVE-2026-61430

Nome do Software Vulnerável e Versões Afetadas PraisonAI versões anteriores a 1.6.78

Description Um problema de server-side request forgery (SSRF) existe na ferramenta web crawl. O software valida nomes de host no momento da verificação usando a função is safe crawl url() para rejeitar IPs privados, de loopback ou link-local, mas não realiza o pinning (fixação) do IP resolvido. Consequentemente, o backend resolve novamente o nome do host no momento da conexão. Um invasor pode usar DNS rebinding—uma técnica onde um domínio retorna um IP público durante a validação e um IP interno durante a busca real—para ignorar essas proteções. Isso permite a recuperação de corpos de resposta HTTP internos de serviços privados ou de loopback. O problema afeta múltiplos backends, incluindo httpx, urllib e crawl4ai (headless Chromium). Especificamente, a função crawl with httpx() e a ferramenta web crawl são afetadas.

Recommendations Atualize o PraisonAI para a versão 1.6.78 ou posterior. Como mitigação temporária, restrinja o uso da ferramenta web crawl ou evite fornecê-la com URLs influenciadas por invasores.