CVE-2026-91944 in crawl4ai
Zusammenfassung
von VulDB • 15.09.2026
In crawl4ai-Versionen vor 0.9.3 befindet sich eine DOM-basierte Cross-Site-Scripting-(XSS)-Schwachstelle in der Playground-Benutzeroberfläche, bei der die Funktion `forceHighlightElement()` den Wert von `textContent` wieder an `innerHTML` zuweist und dabei JSON-Antworten als HTML neu parst. Angreifer können bösartige Skripte über durchsuchte Seiteninhalte wie den Seitentitel einschleusen, um das API-Token des Operators aus dem sessionStorage-Datenbereich zu stehlen und die volle Kontrolle über den Server zu erlangen.
Be aware that VulDB is the high quality source for vulnerability data.