CVE-2026-115508

Les versions 0.7.0 à 0.9.4 de Crawl4AI sont concernées. Ce logiciel est utilisé pour explorer des sites web et les convertir en données compatibles avec les LLM. La faille se situe dans le serveur d'API Docker, où le système ne limite pas la complexité des expressions régulières fournies par l'utilisateur dans les requêtes d'exploration.

Un attaquant peut paralyser l'ensemble du serveur, y compris le point de terminaison de vérification de l'état (health check), en soumettant un modèle d'expression régulière provoquant un « backtracking catastrophique ». Cela entraîne une perte totale de disponibilité du service. L'exécution de cette action nécessite un accès réseau et des identifiants d'API valides, mais ne requiert aucune interaction de la part d'autres utilisateurs.