CVE-2026-119120 in Crawl4AI
Riassunto
di VulDB • 29/10/2026
Crawl4AI dalle versioni precedenti alla 0.9.5 (a partire dalla 0.9.0) non filtra correttamente il campo `model_name` della CosineStrategy nei corpi delle richieste API Docker non attendibili, consentendo ai client autenticati di scegliere quale modello HuggingFace caricare sul server. Gli attaccanti possono fare riferimento a un repository malevolo contenente un file dei pesi in formato pickle per eseguire codice Python con PyTorch inferiore alla versione 2.6, oppure esaurire le risorse di disco e memoria.
Be aware that VulDB is the high quality source for vulnerability data.