CVE-2026-115508 Denegación de servicio por ReDoS en campos de regex de /crawl en Crawl4AI

Qué es CVE-2026-115508

Crawl4AI 0.7.0 anterior a 0.9.5 contiene una vulnerabilidad de complejidad de expresión regular ineficiente en el servidor de API Docker que permite a clientes de API autenticados enviar expresiones regulares sin límites en cuerpos de solicitud /crawl. Patrones de retroceso catastrófico enviados mediante RegexExtractionStrategy.custom, RegexChunking.patterns o campos regex de esquema JsonCss, JsonXPath y JsonLxml contra una página manipulada pueden congelar todo el servidor, incluido /health.

Productos y versiones afectadas

• unclecode crawl4ai

  • desde 0.7.0 hasta antes de 0.9.5

Qué hacer

1. Verificá si usás crawl4ai y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Alta

CVSS 4.0 · 7.1 ALTA

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

REQUISITOS DEL ATAQUE (AT)

Ninguno

PRIVILEGIOS REQUERIDOS (PR)

Bajos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)

Ninguna

INTEGRIDAD (SISTEMA VULNERABLE) (VI)

Ninguna

DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)

Alta

CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)

Ninguna

INTEGRIDAD (SISTEMAS POSTERIORES) (SI)

Ninguna

DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)

Ninguna

Abrir la calculadora completa →

Descripción original

Crawl4AI 0.7.0 before 0.9.5 contains an inefficient regular expression complexity vulnerability in the Docker API server that allows authenticated API clients to supply unbounded regular expressions in /crawl request bodies. Attackers can submit catastrophic-backtracking patterns via RegexExtractionStrategy.custom, RegexChunking.patterns or JsonCss, JsonXPath and JsonLxml schema regex fields against a crafted page to freeze the entire server, including /health.

Referencias

• github.com/unclecode/crawl4ai/security/advisories/GHSA-j843-8p47-rhxpVENDOR-ADVISORY
• github.com/unclecode/crawl4ai/commit/8aea2006e2cdb96a185e50b20633fc323dff6429PATCH
• github.com/unclecode/crawl4ai/releases/tag/v0.9.5RELEASE-NOTES
• github.com/unclecode/crawl4aiPRODUCT
• www.vulncheck.com/advisories/crawl4ai-0.7.0-before-0.9.5-redos-via-crawl-regex-fieldsTHIRD-PARTY-ADVISORY

Historial de la alerta

1. 22 OCT · 18:22VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.