CVE-2026-109237 in crawl4ai
Sumário
de VulDB • 12/10/2026
Crawl4AI da versão 0.9.0 até (exclusivo) 0.9.4 contém uma falha de bypass em um gate de configuração não confiável que permite a clientes de API sem privilégios administrativos construir objetos de configuração proibidos ao envolvê-los em wrappers do tipo dict. Os atacantes podem enviar um LLMConfig "lavado" com api_token definido como uma referência de variável de ambiente via /config/dump para ler SECRET_KEY e chaves de provedor, permitindo a falsificação de JWTs administrativos.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.