CVE-2026-53753: Krytyczna luka w crawl4ai umożliwiająca wykonanie dowolnego kodu

Co wiadomo

W crawl4ai przed wersją 0.8.7 funkcja _safe_eval_expression() w module pól obliczanych pozwala na ominięcie zabezpieczeń sandboxa poprzez dostęp do atrybutów generatorów i ramek Pythona, co umożliwia wykonanie dowolnego kodu. Atak nie wymaga uwierzytelnienia i jest wywoływany przez specjalnie spreparowane żądanie POST /crawl.

Wpływ biznesowy

Luka o krytycznym poziomie CVSS 9.8 pozwala atakującemu na zdalne wykonanie kodu bez uwierzytelnienia, co może prowadzić do przejęcia kontroli nad systemem, wycieku danych lub dalszej eskalacji ataku. Operatorzy infrastruktury wykorzystującej crawl4ai powinni pilnie ocenić ryzyko i podjąć działania naprawcze, aby zabezpieczyć środowisko przed potencjalnymi atakami.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie crawl4ai do wersji 0.8.7 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do endpointu POST /crawl, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ wdrożenie dodatkowych mechanizmów kontroli dostępu. Warto również zweryfikować konfigurację uwierzytelniania JWT oraz ograniczyć ekspozycję sieciową aplikacji. DataHouse wspiera w weryfikacji wersji oprogramowania oraz monitoringu logów pod kątem anomalii.

Źródła

• NVD
• Reference