🇰🇷 한글 설명
Crawl4AI 0.8.7 미만 버전의 Docker API 서버 /screenshot 및 /pdf 엔드포인트에서 임의 파일 쓰기 취약점이 발견되었습니다. output_path 파라미터가 경로 검증 없이 입력값을 허용하여, 공격자가 경로 탐색(Path Traversal)을 통해 서버의 임의 위치에 파일을 생성하거나 기존 파일을 덮어쓸 수 있습니다. 이를 통해 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
웹사이트를 캡처하거나 PDF로 만드는 기능에서 파일 저장 위치를 마음대로 조작할 수 있는 결함입니다. 공격자가 이 기능을 악용해 서버의 중요한 파일을 망가뜨리거나 시스템을 멈추게 할 수 있습니다.
🇺🇸 원문 (English)
Crawl4AI before 0.8.7 contains an arbitrary file write vulnerability in the Docker API server's /screenshot and /pdf endpoints. The output_path parameter accepts arbitrary filesystem paths without validation, allowing an attacker to supply absolute or path-traversal values to write to any location writable by the application's user, overwriting server files and causing denial of service.
📍 영향받는 시스템
Crawl4AI version < 0.8.7
⚔️ 공격 벡터
Docker API 서버의 /screenshot 또는 /pdf 엔드포인트에 조작된 output_path 파라미터 전송
🛡️ 대응 방법
Crawl4AI를 최신 버전인 0.8.7 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.8.7 미만인 경우 취약한 버전입니다.
pip show crawl4ai | grep Version