CVE-2026-119120
CVE-2026-119120 · Crawl4AI 0.9.0 before 0.9.5 Untrusted Model Loading via CosineStrategy model_name
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Crawl4AI from 0.9.0 before 0.9.5 fails to filter the CosineStrategy model_name field in untrusted Docker API request bodies, allowing authenticated clients to choose which HuggingFace model the server loads. Attackers can reference a malicious repository with a pickle weight file to execute Python code under PyTorch below 2.6, or exhaust disk and memory.
CVSS 7.7 · Высокий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
crawl4ai
- Версии
- ≥ 0.9.0, < 0.9.5: Затронуто (semver)
- 0.9.5: Не затронуто (semver)
Обновитесь до 0.9.5