Kidocode Sdn BhdのCrawl4AIにおけるハードコードされた認証情報の使用に関する脆弱性
| Title |
Kidocode Sdn BhdのCrawl4AIにおけるハードコードされた認証情報の使用に関する脆弱性
|
| Summary |
Crawl4AI 0.8.7より前のバージョンには、Docker APIサーバーにハードコーディングされたデフォルトのJWT署名キーが原因で認証バイパスの脆弱性があります。攻撃者がこのデフォルトキーを知っている場合、任意のユーザーの有効な認証トークンを偽造できるため、認証を回避して保護された機能に完全にアクセスできる可能性があります。
|
| Possible impacts |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 21, 2026, midnight |
| Registration Date |
June 29, 2026, 11:10 a.m. |
| Last Update |
June 29, 2026, 11:10 a.m. |
|
CVSS3.0 : 緊急
|
| Score |
9.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Affected System
| Kidocode Sdn Bhd |
|
Crawl4AI 0.8.7 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月29日]
掲載 |
June 29, 2026, 11:10 a.m. |
NVD Vulnerability Information
CVE-2026-56265
| Summary |
Crawl4AI before 0.8.7 contains an authentication bypass vulnerability due to a hardcoded default JWT signing key in the Docker API server. Attackers who know the default key can forge valid authentication tokens for any user, bypassing authentication and gaining full access to protected functionality.
|
| Publication Date |
June 21, 2026, 11:16 p.m. |
| Registration Date |
June 27, 2026, 4:08 a.m. |
| Last Update |
June 26, 2026, 10:52 p.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:kidocode:crawl4ai:*:*:*:*:*:*:*:* |
|
|
|
0.8.7 |
Related information, measures and tools
Common Vulnerabilities List