Crawl4AI before 0.9.5 Denial of Service via Unbounded CrawlerRunConfig Delay Fields

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

Crawl4AI before 0.9.5 contains a denial of service vulnerability in the Docker API server where _clamp_untrusted() fails to cap the delay_before_return_html, mean_delay, and max_range fields of untrusted CrawlerRunConfig bodies. Unauthenticated attackers can send huge values to /crawl or /crawl/stream to hold browser pages or stall the rate limiter, exhausting the page pool and blocking other crawls.

Etkilenen sürümler1 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• github.com/…awl4ai/security/advisories/GHSA-rhjm-7hj7-75fx Üretici bülteni
• vulncheck.com/…ce-via-unbounded-crawlerrunconfig-delay-fields Üçüncü taraf

Kayıt geçmişi

1. 29 Eki 2026 18:58Yayımlandı

İlgili açıklar

• 5,3 CVE-2026-119122Crawl4AI'de CacheValidator tazelik kontrolünden kaynaklanan kör SSRF açığı
• 4,3 CVE-2026-119121Crawl4AI 0.9.0 before 0.9.5 JavaScript Injection via css_selector and wait_for
• 7,5 CVE-2026-119120Crawl4AI 0.9.0 before 0.9.5 Untrusted Model Loading via CosineStrategy model_name
• 6,5 CVE-2026-119118Crawl4AI'de Hatalı Sertifika Doğrulaması (Sabit Kodlanmış Chromium Bayrakları)
• 6,5 CVE-2026-115508Crawl4AI'de /crawl isteğindeki regex alanları nedeniyle ReDoS zafiyeti
• 7,1 CVE-2026-119209pypdf: Possible large memory usage when parsing cross-reference streams