「Crawl4AI」の脆弱性 CVE-2026-26216: コードインジェクション

CVE ID	CVE-2026-26216
対象製品	Crawl4AI (unclecode)
影響バージョン	0 〜 < 0.8.0 (affected)
CVSS	10.0 / 10 (緊急) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
CWE	CWE-94 (コードインジェクション)
公開日	2026年2月12日
更新日	2026年11月8日

CVE ID

CVE-2026-26216

対象製品

Crawl4AI (unclecode)

影響バージョン

0 〜 < 0.8.0 (affected)

CVSS

10.0 / 10 (緊急)

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

CWE

CWE-94 (コードインジェクション)

公開日

2026年2月12日

更新日

2026年11月8日

どんな危険があるか

Crawl4AIのバージョン0.8.0未満では、Docker APIデプロイメントの/crawlエンドポイントにおいて、hooksパラメータに指定されたPythonコードがexec()関数で実行されるリモートコード実行の脆弱性が存在します。__import__組み込み関数が許可されているため、認証されていないリモートの攻撃者は任意のモジュールをインポートし、システムコマンドを実行することが可能です。この脆弱性が悪用されると、サーバーの完全な侵害、任意のコマンド実行、ファイルの読み書き、機密データの漏洩、さらには内部ネットワーク内での水平移動につながる恐れがあります。

今すぐやること

Crawl4AIを使用している場合は、バージョンが0.8.0未満であれば直ちにバージョン0.8.0以降にアップデートしてください。これにより、hooksパラメータを介したリモートコード実行の脆弱性が修正されます。詳しいリリースノートや追加のセキュリティ対策については、ベンダーアドバイザリおよび公式のリリースノートを確認することを推奨します。

本ページの情報は公開時点 (2026年11月9日) のものです。最新情報は上記の出典を確認してください。

本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。

脆弱性データの一部は採番機関 (CNA) 「VulnCheck」のアドバイザリを出典としています。データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。