🇰🇷 한글 설명
Crawl4AI 0.8.8 미만 버전에서 Docker API 서버의 자격 증명 유출 취약점이 발견되었습니다. 공격자는 악의적인 base_url 파라미터를 사용하여 LLM API 호출을 가로채거나 환경 변수를 읽어 API 키 및 JWT 비밀키를 탈취할 수 있습니다.
💡 쉬운 설명
해커가 웹사이트의 설정값을 조작하여 사용자의 중요한 비밀번호나 API 키를 몰래 빼갈 수 있는 보안 구멍이 발견되었습니다. 이로 인해 서비스의 권한을 통째로 뺏길 위험이 있습니다.
🇺🇸 원문 (English)
Crawl4AI before 0.8.8 contains credential exfiltration vulnerabilities in the Docker API server that allow attackers to redirect LLM API calls to attacker-controlled endpoints and read arbitrary environment variables. Attackers can exploit the unauthenticated /md, /llm, and /llm/job endpoints by supplying a malicious base_url parameter and setting api_token to env:VARIABLE_NAME to exfiltrate provider API keys and server secrets including JWT SECRET_KEY for authentication bypass.
📍 영향받는 시스템
Crawl4AI version < 0.8.8
⚔️ 공격 벡터
인증되지 않은 /md, /llm, /llm/job 엔드포인트에 악의적인 base_url 및 api_token 파라미터 주입
🛡️ 대응 방법
Crawl4AI를 최신 버전인 0.8.8 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.8.8보다 낮으면 취약한 상태입니다.
pip show crawl4ai | grep Version