Crawl4AIの脆弱性、認証なしでサービス停止のおそれ
概要
Crawl4AIのDockerで動くAPIサーバーに、サービス拒否（DoS）の脆弱性が見つかりました。認証なしで大きな値を送られると、ブラウザーのページやレート制限の処理が止まり、ほかのクロールが実行できなくなるおそれがあります。0.9.5より前の版が対象で、修正版は0.9.5です。すぐに0.9.5以降へ更新してください。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Crawl4AIのDockerで動くAPIサーバーに、サービス拒否（DoS）の脆弱性が見つかりました。認証なしで大きな値を送られると、ブラウザーのページやレート制限の処理が止まり、ほかのクロールが実行できなくなるおそれがあります。0.9.5より前の版が対象で、修正版は0.9.5です。すぐに0.9.5以降へ更新してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| unclecode | crawl4ai |
0.9.5 未満 |
0.9.5 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Crawl4AI before 0.9.5 contains a denial of service vulnerability in the Docker API server where _clamp_untrusted() fails to cap the delay_before_return_html, mean_delay, and max_range fields of untrusted CrawlerRunConfig bodies. Unauthenticated attackers can send huge values to /crawl or /crawl/stream to hold browser pages or stall the rate limiter, exhausting the page pool and blocking other crawls.
出典: CVE.org (CVE Program・cvelistV5) NVD