CVE-2026-57572
CVE-2026-57572 · Crawl4AI: Unauthenticated RCE via Chromium launch-argument injection in browser_config.extra_args
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Crawl4AI is an open-source LLM-friendly web crawler and scraper. Prior to 0.9.0, the Docker API server accepted request-supplied browser_config.extra_args, which flowed into Chromium's launch arguments. An attacker could inject Chromium switches that replace a child-process launch command together with --no-zygote, causing Chromium to fork or exec an attacker-controlled command as the container's runtime user. The Docker API is unauthenticated by default, so a single request yields arbitrary command execution. This issue is fixed in version 0.9.0.
CVSS 10.0 · Crítica · EPSS 0,9% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: python
Productos y versiones afectados
crawl4ai
- Versiones
- < 0.9.0: Afectada
Sin corrección publicada
crawl4ai PyPI
- Versiones
- 0.3.0
- 0.3.1
- 0.3.2
- 0.3.3
- 0.3.4
- 0.3.5
- 0.3.6
- 0.3.7
- 0.3.71
- 0.3.72
- 0.3.73
- 0.3.731
- 0.3.74
- 0.3.741
- 0.3.742
- 0.3.743
- 0.3.744
- 0.3.745
- 0.3.746
- 0.3.8
- 0.4.0
- 0.4.1
- 0.4.21
- 0.4.22
- 0.4.23
- 0.4.24
- 0.4.241
- 0.4.242
- 0.4.243
- 0.4.244
- 0.4.245
- 0.4.246
- 0.4.247
- 0.4.248
- 0.4.248b3
- 0.4.3b1
- 0.4.3b2
- 0.4.3b3
- 0.5.0
- 0.5.0.post1
- 0.5.0.post2
- 0.5.0.post3
- 0.5.0.post4
- 0.5.0.post5
- 0.5.0.post6
- 0.5.0.post7
- 0.5.0.post8
- 0.6.0
- 0.6.0rc1
- 0.6.1
- 0.6.2
- 0.6.3
- 0.7.0
- 0.7.1
- 0.7.2
- 0.7.3
- 0.7.4
- 0.7.5
- 0.7.6
- 0.7.7
- 0.7.8
- 0.8.0
- 0.8.5
- 0.8.6
- 0.8.7
- 0.8.8
- 0.8.9
- Intervalos de versiones afectados
- ECOSYSTEM: < 0.9.0
Actualiza a 0.9.0