7.1
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Crawl4AI 0.7.0 before 0.9.5 contains an inefficient regular expression complexity vulnerability in the Docker API server that allows authenticated API clients to supply unbounded regular expressions in /crawl request bodies. Attackers can submit catastrophic-backtracking patterns via RegexExtractionStrategy.custom, RegexChunking.patterns or JsonCss, JsonXPath and JsonLxml schema regex fields against a crafted page to freeze the entire server, including /health.
Засегнати продукти
- unclecode crawl4ai: 0.7.0 преди 0.9.5; 0.9.5
Вид слабост
История
- 22 октомври 2026 Публикувано
Други уязвимости в unclecode crawl4ai
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-115508
- https://nvd.nist.gov/vuln/detail/CVE-2026-115508
- https://github.com/unclecode/crawl4ai/security/advisories/GHSA-j843-8p47-rhxp
- https://github.com/unclecode/crawl4ai/commit/8aea2006e2cdb96a185e50b20633fc323dff6429
- https://github.com/unclecode/crawl4ai/releases/tag/v0.9.5
- https://github.com/unclecode/crawl4ai
- https://www.vulncheck.com/advisories/crawl4ai-0.7.0-before-0.9.5-redos-via-crawl-regex-fields