CVE-2026-119120

CVSS 7.5 HIGH RCE

Crawl4AI 0.9.0 before 0.9.5 Untrusted Model Loading via CosineStrategy model_name

Công bố: 2026-10-29
Cập nhật: 2026-10-29
Lần đầu thấy: 2026-10-31
Nguồn: NVD, CVE.org

Mô tả

Crawl4AI from 0.9.0 before 0.9.5 fails to filter the CosineStrategy model_name field in untrusted Docker API request bodies, allowing authenticated clients to choose which HuggingFace model the server loads. Attackers can reference a malicious repository with a pickle weight file to execute Python code under PyTorch below 2.6, or exhaust disk and memory.

Điểm và phân loại

CVSS: 7.5 HIGH v3.1
Nguồn điểm: NVD
Mức độ (theo nguồn): HIGH
EPSS: —
CWE: CWE-502

Vector CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Ảnh hưởng

Sản phẩm

unclecode crawl4ai

Vì sao bị lọc

CVSS 7.5 < 8.0 và không thuộc CISA KEV

Loại tác động

RCE: CWE-502

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã: VulnCheck