何が起きたか
VulnCheckは（2026-10-19）、crewai-toolsのSeleniumScrapingToolにSSRFを公開しました。このツールはプライベートアドレスURLを拒否しません。CVSS 7.4（v3.1、スコープ変更）/ 8.3（v4.0）、CWE-918。プロンプトインジェクションを通じてエージェントのツール入力を操る攻撃者は、内部データとクラウドテナント資格情報を窃取できます。
なぜ重要か
エージェント型デプロイメントでは、スクレイパーは高権限のブラウザです。プライベートアドレスチェックを無視するSSRFは、プロンプトインジェクションされたエージェントにクラウドメタデータと内部インフラストラクチャへの生きた経路を提供し、これはクラウドアカウント乗っ取りチェーンにおける一般的なステップです。
攻撃経路
SeleniumScrapingToolは、ヘッドレスChromeをターゲットURLに向ける前に、validate_urlのプライベートアドレスチェックを適用しません。プロンプトインジェクションを介してエージェントのツール入力を操作する攻撃者は、スクレイパーを内部サービスまたはクラウドメタデータエンドポイントに向けて、内部データとクラウド資格情報を開示できます（CWE-918）。
影響を受けるシステム
crewai-tools 1.15.28まで（CrewAI）
緩和策
crewai-toolsを修正版リリースに更新してください（CrewAI PR #6870で参照される修正）。