CVE-2026-57571
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.6
- EPSS
- —
- CWE
- CWE-22
- KEV Durumu
- Hayır
Yayım tarihi: 6 Temmuz 2026
Etkilenen: kidocode crawl4ai
Crawl4AI, açık kaynaklı bir LLM dostu web tarama ve kazıyıcı aracıdır. 0.9.0 sürümünden önce, tarama aracı bir indirilen dosyayı kaydettiğinde, hedef dosya adı saldırganın etkilediği girdiden alınıyor ve sınırlama olmadan indirme dizinine ekleniyordu. Mutlak bir yol veya geçiş içeren bir dosya adı, indirme dizininden kaçarak, saldırganın kontrol ettiği içeriklerle keyfi bir dosya yazma işlemi gerçekleştiriyordu; HTTP tarama yolu, yanıtın Content-Disposition dosya adını ve tarayıcı tarama yolu, indirme önerilen dosya adını kullanıyordu. Yazılan baytlar saldırganın kontrolünde olduğu için, bu durum uzaktan kod çalıştırmasına kadar yükselebilir. Bu sorun 0.9.0 sürümünde giderilmiştir.
Orijinal açıklama (İngilizce)
Crawl4AI is an open-source LLM-friendly web crawler and scraper. Prior to 0.9.0, when the crawler saves a downloaded file, the destination filename was taken from attacker-influenced input and joined to the downloads directory with no confinement. A filename containing an absolute path or traversal escaped the downloads directory, giving an arbitrary file write with attacker-controlled contents; the HTTP crawler path uses the response Content-Disposition filename and the browser crawler path uses the download's suggested filename. Because the written bytes are attacker-controlled, this can escalate to remote code execution. This issue is fixed in version 0.9.0.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.