Crawl4AIの脆弱性、認証なしでサービス停止のおそれ
Summary
Crawl4AIのDockerで動くAPIサーバーに、サービス拒否（DoS）の脆弱性が見つかりました。認証なしで大きな値を送られると、ブラウザーのページやレート制限の処理が止まり、ほかのクロールが実行できなくなるおそれがあります。0.9.5より前の版が対象で、修正版は0.9.5です。すぐに0.9.5以降へ更新してください。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Crawl4AIのDockerで動くAPIサーバーに、サービス拒否（DoS）の脆弱性が見つかりました。認証なしで大きな値を送られると、ブラウザーのページやレート制限の処理が止まり、ほかのクロールが実行できなくなるおそれがあります。0.9.5より前の版が対象で、修正版は0.9.5です。すぐに0.9.5以降へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| unclecode | crawl4ai |
< 0.9.5 |
0.9.5 |
Original description The description as published by the source.
Crawl4AI before 0.9.5 contains a denial of service vulnerability in the Docker API server where _clamp_untrusted() fails to cap the delay_before_return_html, mean_delay, and max_range fields of untrusted CrawlerRunConfig bodies. Unauthenticated attackers can send huge values to /crawl or /crawl/stream to hold browser pages or stall the rate limiter, exhausting the page pool and blocking other crawls.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com