CVE-2026-56265: Bypass de autenticação no Crawl4AI via chave de assinatura JWT fixa no código
As versões do Crawl4AI anteriores à 0.8.7 usam uma chave de assinatura JWT padrão embutida no código do servidor de API em Docker. Quem conhecer essa chave pode forjar tokens válidos para qualquer usuário e contornar a autenticação. O registro classifica a falha como crítica (CVSS 3.1 com pontuação 9.8), e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-56265 afeta o projeto Crawl4AI, especificamente o seu servidor de API executado em Docker. Segundo o registro, as versões anteriores à 0.8.7 usam uma chave de assinatura JWT padrão fixa no código, o que permite que quem conhece essa chave gere tokens de autenticação que o servidor aceita.
Impacto
- Atacantes que conhecem a chave padrão podem forjar tokens válidos para qualquer usuário.
- Um token forjado contorna a autenticação e dá acesso às funcionalidades protegidas.
- O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica alcance pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
Produtos afetados e versões
- Produto: Crawl4ai, listado no registro sob o fornecedor Kidocode, com versões inferiores a 0.8.7.
- Projeto original: unclecode/crawl4ai.
Status de exploração
- Segundo o registro, a CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Correção e mitigação
- Atualize o Crawl4AI para a versão 0.8.7 ou posterior. O intervalo afetado sugere que a 0.8.7 é a primeira versão não afetada; confirme isso no aviso do fornecedor GHSA-365w-hqf6-vxfg.
- Garanta que nenhum ambiente continue usando a chave de assinatura padrão. Configure um segredo exclusivo e de alta entropia para cada ambiente.
- Considere como potencialmente não confiáveis os tokens emitidos enquanto uma chave padrão estava em uso e rotacione o segredo de assinatura após a atualização.
- Restrinja a exposição de rede do servidor de API em Docker a redes confiáveis até concluir a atualização.
Orientações de detecção
- Revise os logs do servidor de API em busca de sessões autenticadas de origens inesperadas ou de identidades que não correspondam a contas conhecidas.
- Audite a configuração dos contêineres e as variáveis de ambiente para verificar se o segredo JWT ficou com valor padrão ou compartilhado.
Limitações das informações disponíveis
- O registro não traz pontuação EPSS nem dados SSVC, então a probabilidade de exploração é desconhecida.
- O registro não informa o valor exato da chave padrão, a estrutura das declarações do token nem um número de versão corrigida além do intervalo 'anterior à 0.8.7'.
- Que a correção esteja exatamente na 0.8.7 é uma inferência a partir do intervalo afetado e deve ser confirmada no aviso do fornecedor.
Perguntas frequentes
Qual é a causa raiz da CVE-2026-56265?
Segundo o registro, o servidor de API do Crawl4AI em Docker usa uma chave de assinatura JWT padrão fixa no código, classificada como CWE-798 (Uso de Credenciais Fixas no Código).
Quais versões são afetadas?
O registro lista as versões do Crawl4ai inferiores à 0.8.7 como afetadas.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.