Crawl4AIに証明書検証の不備の脆弱性、通信を傍受されるおそれ
Summary
Crawl4AIの0.9.5より前のバージョンには、証明書検証の不備の脆弱性があります。Chromiumが証明書エラーを無視する設定で起動するため、通信経路上の攻撃者が偽のコンテンツを返し、送信されたCookieやヘッダーを読み取れるおそれがあります。修正版の0.9.5では対策されているため、0.9.5以降へのアップデートが必要です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Crawl4AIの0.9.5より前のバージョンには、証明書検証の不備の脆弱性があります。Chromiumが証明書エラーを無視する設定で起動するため、通信経路上の攻撃者が偽のコンテンツを返し、送信されたCookieやヘッダーを読み取れるおそれがあります。修正版の0.9.5では対策されているため、0.9.5以降へのアップデートが必要です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| unclecode | crawl4ai |
< 0.9.5 |
0.9.5 |
Original description The description as published by the source.
Crawl4AI before 0.9.5 contains an improper certificate validation vulnerability that allows network attackers to intercept crawls because Chromium always launches with --ignore-certificate-errors. Man-in-the-middle or DNS-controlling attackers can serve forged content to the crawler and read cookies and headers sent, while hard-coded --no-sandbox also overrides CRAWL4AI_CHROMIUM_SANDBOX.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com