CVE-2026-56261

SSRF w Crawl4AI — brak walidacji adresów webhook w Docker API

CVSS 9.2v4.0pub. 2026-07-10upd. 2026-07-13

Crawl4AI przed wersją 0.8.7 zawiera podatność typu SSRF w serwerze Docker API, umożliwiającą atakującemu skierowanie serwera do wykonywania żądań do wewnętrznych usług sieciowych. Jest to szczególnie niebezpieczne w środowiskach chmurowych, gdzie możliwe jest uzyskanie dostępu do metadanych instancji.

▸ Pokaż oryginał (EN)

Crawl4AI before 0.8.7 contains a server-side request forgery (SSRF) vulnerability in the Docker API server's /crawl/job and /llm/job endpoints, which accept webhook URLs without destination validation. An attacker can supply webhook URLs pointing to private or internal IP ranges, Docker networks, or cloud metadata endpoints (e.g. 169.254.169.254), causing the server to make requests to internal services and potentially expose cloud metadata.

🤖 Analiza AI

Jak działa

Endpointy /crawl/job oraz /llm/job serwera Docker API akceptują adresy URL webhooków bez jakiejkolwiek walidacji docelowego adresu. Atakujący może podać URL wskazujący na prywatne zakresy adresów IP, sieci Docker lub chmurowe endpointy metadanych (np. 169.254.169.254). Serwer wykonuje następnie żądanie HTTP do wskazanego adresu, działając jako pośrednik w sieci wewnętrznej.

Skutki

Atakujący może uzyskać dostęp do wewnętrznych usług sieciowych, sieci Docker oraz potencjalnie wykraść wrażliwe metadane chmury (np. tokeny dostępowe, klucze API), co może prowadzić do dalszej kompromitacji infrastruktury.

Mitygacja

Należy zaktualizować Crawl4AI do wersji 0.8.7 lub nowszej, w której wprowadzono walidację docelowych adresów URL webhooków. Szczegóły dostępne w oficjalnym security advisory: https://github.com/unclecode/crawl4ai/security/advisories/GHSA-365w-hqf6-vxfg

Kogo dotyczy

Crawl4AI w wersjach przed 0.8.7 uruchamiany z serwerem Docker API

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X