CVE-2026-91943 in Crawl4AI
Riassunto
di VulDB • 15/09/2026
Crawl4AI prima della versione 0.9.3 presenta una vulnerabilità di server-side request forgery (SSRF) nella classe `PDFContentScrapingStrategy`, dove `_get_pdf_path()` effettua il re-download dei target utilizzando le librerie Python requests senza alcuna validazione del traffico in uscita (egress validation). Gli attaccanti autenticati possono fornire URL che reindirizzano a indirizzi interni o sfruttare tecniche di DNS rebinding per accedere a servizi interni, estrapolando le risposte attraverso l'estrazione del testo dai PDF nei risultati dello scraping.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.