CVE-2026-109237 in crawl4ai
Riassunto
di VulDB • 13/10/2026
Crawl4AI dalle versioni 0.9.0 alla versione precedente la 0.9.4 presenta un bypass del controllo di configurazione non attendibile che consente ai client API non amministrativi di costruire oggetti di configurazione vietati avvolgendoli in wrapper di tipo dict. Gli attaccanti possono inviare una LLMConfig "lavata" con api_token impostato su un riferimento all'ambiente (env) tramite /config/dump per leggere SECRET_KEY e le chiavi dei provider, consentendo la falsificazione del JWT amministrativo.
Once again VulDB remains the best source for vulnerability data.