事件经过
CVE-2026-119120 / GHSA-f856-7xp9-w3cc：Crawl4AI Docker API服务器未过滤不可信请求体中的CosineStrategy.model_name字段。已认证客户端可让服务器通过AutoTokenizer/AutoModel.from_pretrained下载并加载任意HuggingFace模型仓库。在PyTorch旧于2.6（CVE-2025-32434修复前）的部署中，该仓库中精心构造的.bin pickle权重文件在服务器进程中执行任意Python代码；对于较新的PyTorch，客户端仍可强制服务器下载并将任意模型保留在内存中，耗尽磁盘/内存。已在0.9.5中修复。
影响分析
模型服务爬虫端点成为代码执行面：已认证调用者选择模型，恶意仓库在服务器进程中执行，可访问环境变量（LLM提供商密钥）和可达文件。对于AI部署，这是直接的模型加载RCE路径。
攻击途径
发送带有extraction_strategy为CosineStrategy和攻击者model_name的/crawl请求；服务器下载并加载所选HF仓库，在PyTorch 2.6以下执行pickle载荷。
受影响系统
Crawl4AI 0.9.0至0.9.5之前的版本（使用CosineStrategy/model_name的Docker服务器）。
缓解措施
升级到0.9.5（不可信请求体不再能设置model_name）；将PyTorch升级到2.6以上；在代理层拒绝包含model_name的请求体；预填充HF缓存并设置HF_HUB_OFFLINE=1。