Apa yang terjadi
CVE-2026-119120 / GHSA-f856-7xp9-w3cc: server API Docker Crawl4AI tidak memfilter field model_name CosineStrategy dalam badan permintaan yang tidak tepercaya. Klien terautentikasi dapat membuat server mengunduh dan memuat repositori model HuggingFace apa pun melalui AutoTokenizer/AutoModel.from_pretrained. Pada deployment dengan PyTorch lebih lama dari 2.6 (sebelum perbaikan CVE-2025-32434), file bobot pickle .bin yang dirancang dalam repositori tersebut menjalankan Python arbitrer dalam proses server; dengan PyTorch yang lebih baru klien masih dapat memaksa server mengunduh dan menahan model apa pun di memori, menghabiskan disk/memori. Diperbaiki di 0.9.5.
Mengapa penting
Endpoint crawler yang melayani model menjadi permukaan eksekusi kode: pemanggil terautentikasi memilih model, dan repositori berbahaya mengeksekusi dalam proses server dengan akses ke variabel lingkungan (kunci penyedia LLM) dan file yang dapat dijangkau. Untuk deployment AI, ini adalah jalur RCE pemuatan model langsung.
Vektor serangan
Kirim permintaan /crawl dengan extraction_strategy CosineStrategy dan model_name penyerang; server mengunduh dan memuat repo HF yang dipilih, mengeksekusi payload pickle di bawah PyTorch <2.6.
Sistem yang terdampak
Crawl4AI 0.9.0 hingga sebelum 0.9.5 (server Docker dengan CosineStrategy/model_name).
Mitigasi
Tingkatkan ke 0.9.5 (badan tidak tepercaya tidak lagi dapat mengatur model_name); tingkatkan PyTorch ke 2.6+; tolak badan permintaan yang berisi model_name di proxy; isi cache HF terlebih dahulu dan atur HF_HUB_OFFLINE=1.