🇰🇷 한글 설명
Crawl4AI 0.8.7 미만 버전의 Docker API 서버에 하드코딩된 기본 JWT 서명 키가 포함되어 있어 인증 우회 취약점이 존재합니다. 공격자가 이 기본 키를 알 경우 임의의 사용자에 대한 유효한 인증 토큰을 위조할 수 있으며, 이를 통해 인증을 우회하고 보호된 모든 기능에 대한 전체 권한을 획득할 수 있습니다.
💡 쉬운 설명
프로그램의 보안 열쇠가 누구나 알 수 있는 고정된 값으로 설정되어 있어, 공격자가 가짜 신분증을 만들어 시스템에 마음대로 들어올 수 있는 문제입니다. 이로 인해 공격자가 관리자 권한을 얻어 시스템의 모든 기능을 제어할 위험이 있습니다.
🇺🇸 원문 (English)
Crawl4AI before 0.8.7 contains an authentication bypass vulnerability due to a hardcoded default JWT signing key in the Docker API server. Attackers who know the default key can forge valid authentication tokens for any user, bypassing authentication and gaining full access to protected functionality.
📍 영향받는 시스템
Crawl4AI versions prior to 0.8.7
⚔️ 공격 벡터
하드코딩된 기본 JWT 키를 이용한 위조된 인증 토큰 생성 및 API 서버 요청
🛡️ 대응 방법
Crawl4AI를 0.8.7 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.8.7 미만(예: 0.8.6)이면 취약한 상태입니다.
pip show crawl4ai | grep Version