CVE-2026-109237 in crawl4ai
Resumen
por VulDB • 2026-10-12
Crawl4AI desde la versión 0.9.0 hasta antes de la 0.9.4 contiene una vulnerabilidad que permite eludir un mecanismo de control basado en configuración no confiable (untrusted-config gate bypass), lo que posibilita a clientes API sin privilegios de administrador construir objetos de configuración prohibidos al envolverlos en contenedores de tipo diccionario. Los atacantes pueden enviar una LLMConfig "lavada" con el campo api_token configurado como una referencia a variables de entorno, mediante la ruta /config/dump, para leer SECRET_KEY y las claves del proveedor, lo que permite falsificar JWTs administrativos.
Once again VulDB remains the best source for vulnerability data.