何が起きたか
CVE-2026-119120 / GHSA-f856-7xp9-w3cc：Crawl4AI Docker APIサーバーは、信頼されていないリクエストボディ内のCosineStrategy.model_nameフィールドをフィルタリングしません。認証済みクライアントは、AutoTokenizer/AutoModel.from_pretrainedを介してサーバーに任意のHuggingFaceモデルリポジトリをダウンロードおよびロードさせることができます。PyTorch 2.6より古いデプロイメント（CVE-2025-32434修正前）では、そのリポジトリ内の細工された.bin pickleウェイトファイルがサーバープロセス内で任意のPythonを実行します；新しいPyTorchでは、クライアントは依然としてサーバーに任意のモデルをダウンロードしてメモリに保持させ、ディスク/メモリを枯渇させることができます。0.9.5で修正されました。
なぜ重要か
モデルサービングクローラーエンドポイントがコード実行サーフェスになります：認証された呼び出し元がモデルを選択し、悪意のあるリポジトリが環境変数（LLMプロバイダーキー）と到達可能なファイルにアクセスできるサーバープロセス内で実行されます。AIデプロイメントにとっては、直接的なモデルロードRCE経路です。
攻撃経路
extraction_strategy CosineStrategyと攻撃者のmodel_nameを含む/crawlリクエストを送信する；サーバーは選択されたHFリポジトリをダウンロードしてロードし、PyTorch <2.6の下でpickleペイロードを実行します。
影響を受けるシステム
Crawl4AI 0.9.0から0.9.5より前のバージョン（DockerサーバーでCosineStrategy/model_nameを使用）。
緩和策
0.9.5にアップグレードする（信頼されていないボディはmodel_nameを設定できなくなる）；PyTorchを2.6+にアップグレードする；プロキシでmodel_nameを含むリクエストボディを拒否する；HFキャッシュを事前に設定し、HF_HUB_OFFLINE=1を設定する。