CVE-2026-109237 in crawl4ai
요약
\~에 의해 VulDB • 2026. 10. 12.
0.9.4 미만의 Crawl4AI 0.9.0 버전에는 신뢰할 수 없는 구성(untrusted-config) 게이트 우회 취약점이 포함되어 있어, 비관리자 API 클라이언트가 dict-type 래퍼로 감싸는 방식으로 금지된 구성 객체를 생성할 수 있습니다. 공격자는 /config/dump 엔드포인트를 통해 api_token이 환경 변수 참조(env reference)로 설정된 Laundered LLMConfig을 전송하여 SECRET_KEY 및 제공자 키(provider keys)를 읽을 수 있으며, 이를 통해 관리자 JWT 위조(admin JWT forgery)가 가능해집니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.