- Yama var
- Son 7 gün
- CWE-295
CVE-2026-119118
Crawl4AI'de Hatalı Sertifika Doğrulaması (Sabit Kodlanmış Chromium Bayrakları)
- Yayımlandı
- Güncellendi
- 29 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- VulnCheck
Yönetici özeti
Bu güvenlik açığı, web verilerini otomatik olarak toplayan bir aracın güvenilmez bağlantılar üzerinden kandırılmasına yol açabilir ve oturum bilgilerinin sızma riskini artırır. Etkilenen sistemlerin 0.9.5 veya üstü bir sürüme güncellenmesi önerilir.
ÖzetTürkçe
Crawl4AI'nin 0.9.5 öncesi sürümlerinde, Chromium tarayıcısı her zaman --ignore-certificate-errors bayrağıyla başlatıldığı için sertifika doğrulaması devre dışı kalmaktadır. Bu durum, ağ üzerindeki saldırganların tarama trafiğini ele geçirmesine olanak tanımaktadır. Ayrıca sabit kodlanmış --no-sandbox bayrağı, CRAWL4AI_CHROMIUM_SANDBOX ortam değişkeninin ayarını geçersiz kılmaktadır.
Saldırgan ne yapabilir?
Ortadaki adam (MitM) veya DNS trafiğini kontrol eden bir saldırgan, tarayıcıya sahte içerik sunabilir ve tarayıcının gönderdiği çerezleri ile HTTP başlıklarını okuyabilir.
Kaynaktaki açıklama (İngilizce)
Crawl4AI before 0.9.5 contains an improper certificate validation vulnerability that allows network attackers to intercept crawls because Chromium always launches with --ignore-certificate-errors. Man-in-the-middle or DNS-controlling attackers can serve forged content to the crawler and read cookies and headers sent, while hard-coded --no-sandbox also overrides CRAWL4AI_CHROMIUM_SANDBOX.
Ne yapmalı?
- Crawl4AI'yi 0.9.5 veya daha yeni bir sürüme yükseltin. Üretici
- Güncellemeden önce, tarama işlemlerinin yalnızca güvenilen ağlarda ve güvenilen hedeflere karşı çalıştırıldığından emin olun. Genel öneri
- Yükseltme sonrası sabit kodlanmış sertifika hatası yoksayma ve sandbox devre dışı bırakma ayarlarının kaldırıldığını doğrulayın. Genel öneri
Ek önlemler
- Tarama sırasında hassas oturum çerezleri veya kimlik doğrulama başlıkları kullanmaktan kaçının. Genel öneri
- Tarayıcı sürecinin çalıştığı ağda DNS sunucularının bütünlüğünü ve erişim kontrollerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| unclecode crawl4ai | < 0.9.5 | 0.9.5 |
| 0.9.5 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.