🇰🇷 한글 설명
crawl4ai 0.9.3 미만 버전의 Docker Playground UI에서 DOM 기반 XSS 취약점이 발견되었습니다. 공격자가 이벤트 핸들러가 포함된 악성 PDF를 제작하여 사용자의 sessionStorage에 저장된 API 토큰을 탈취하고 인증된 API를 오용할 수 있습니다.
💡 쉬운 설명
웹사이트 화면을 보여주는 과정에서 검증되지 않은 데이터를 잘못 처리하여 발생하는 보안 문제입니다. 해커가 만든 특수한 파일을 열면 사용자의 중요한 로그인 정보나 토큰을 몰래 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
crawl4ai before 0.9.3 contains a DOM-based cross-site scripting vulnerability in the Docker Playground UI that assigns untrusted crawl results to element.innerHTML. Attackers can craft malicious PDFs with event-handler markup to execute JavaScript in the Playground origin and steal API tokens from sessionStorage for authenticated API abuse.
📍 영향받는 시스템
crawl4ai version < 0.9.3 (Docker Playground UI 사용 시)
⚔️ 공격 벡터
이벤트 핸들러 마크업이 포함된 악성 PDF 파일을 통해 Playground UI의 element.innerHTML에 스크립트 주입
🛡️ 대응 방법
crawl4ai를 0.9.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 0.9.3보다 낮으면 취약한 상태입니다.
pip show crawl4ai | grep Version