Crawl4AI の Docker API で、読み込む機械学習モデルをリクエストから指定でき、悪意あるモデルでコード実行の恐れ（CVE-2026-119120）: 0.9.5 で修正、CVSS 7.5（VulnCheck）

NVD は 2026-10-29（16:18 UTC）に、Web クローラー／スクレイピング用の Python ライブラリ Crawl4AI の CVE-2026-119120 を登録しました。説明によれば、0.9.0 以上 0.9.5 未満の Docker API サーバーが、信頼できないリクエスト本文に含まれる CosineStrategy の model_name 項目を絞り込まず、認証済みのクライアントが、サーバーに読み込ませる HuggingFace のモデルを選べる状態でした。攻撃者が pickle 形式の重みファイルを含む悪意あるリポジトリを指定すると、PyTorch 2.6 未満の環境では Python コードを実行でき、そうでなくてもディスクとメモリを使い尽くせる、と説明されています。弱点の分類は CWE-502（信頼できないデータのデシリアライズ）です。登録元（CNA）は VulnCheck で、NVD の状態は「Deferred」です。

何が起きるか（CNA の説明）

• 対象は、Crawl4AI を Docker API サーバーとして動かしている環境です。抽出戦略 CosineStrategy に渡す model_name が、外部から来た値のまま埋め込みモデルの取得に使われます。
• 認証を通ったクライアントは、任意の HuggingFace リポジトリ名を指定し、サーバーにそのモデルをダウンロード・読み込みさせられます。
• 読み込まれるのが pickle 形式の重みで、PyTorch が 2.6 未満の場合、読み込み時に任意の Python コードが動く可能性があります（CNA の説明）。2.6 以降でも、巨大なモデルを指定してディスクやメモリを消費させる使い方は残ると読めます（本記事の推定）。
• ベクターは、ネットワークから・攻撃の複雑さ High・必要な権限 Low・操作不要で、機密性・完全性・可用性のすべてが High です。複雑さが High とされているのは、攻撃者が用意した外部リポジトリへサーバーが到達できることや PyTorch の版などの前提があるためと読めます（本記事の推定）。

数値と出典（2026-11-01 時点）

項目	内容
CVE	CVE-2026-119120（CWE-502）
影響	Crawl4AI 0.9.0 以上 0.9.5 未満（pkg:pypi/crawl4ai）。Docker API サーバー
修正	0.9.5（GitHub リリース 2026-10-14）。NVD の影響版情報では 0.9.5 は「unaffected」
CVSS v3.1	7.5（High、CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H）。VulnCheck（CNA）の値
CVSS v4.0	7.7（High）。同じく VulnCheck（CNA）の値
状態	NVD の状態は「Deferred」（NVD 自身の評価はなし）
EPSS	0.42%（パーセンタイル 36.2%、2026-10-31、FIRST）
KEV	掲載なし（CISA の JSON、2026-10-30 版で確認）

severity を high とした理由

CVSS は High（7.5）で、CNA の説明どおりなら実行できるコードの影響は大きい一方、認証済みのクライアントであること、サーバーから攻撃者のリポジトリへ到達できること、PyTorch が 2.6 未満であること（コード実行の場合）が前提になります。EPSS も低い水準で、KEV にも載っていません。以上を踏まえ、critical にはせず high としました。該当する構成では、認証済みの利用者がサーバー上でコードを動かせる点に注意が必要です。

対応として考えられること

1. 自組織で Crawl4AI を使っているか、特に Docker API サーバーとして公開・共有していないかを洗い出します。ライブラリとして手元でのみ使う場合は、リクエスト経由で model_name を指定される経路がないかを確認します。
2. 0.9.0 以上 0.9.5 未満であれば、0.9.5 以降へ更新します（修正が 0.9.5 に入っていることは CNA の影響版情報と GitHub リリースからの推定です）。Docker イメージを使っている場合は、タグを更新して作り直します。
3. すぐに更新できない場合は、Docker API への到達を信頼できるネットワークと認証済みの利用者に限定し、サーバーから外部のモデル配布元への通信を制限します。
4. 実行環境の PyTorch を 2.6 以降にします。CNA はコード実行が 2.6 未満の場合の問題だと説明しています。ただし他のライブラリへの影響を確認してから更新してください。
5. 不審なモデルの取得がなかったかを、サーバーのログとモデルのキャッシュ（取得済みのモデルの一覧、ディスク使用量）で確かめます。具体的な攻撃の指標は公開されておらず、未確認です。

未確認の点

• 修正が 0.9.5 の具体的にどの変更で入ったかは、リリースノートに詳細がなく確認できていません（CNA の影響版情報と GitHub のリリース日からの推定です）。GitHub のアドバイザリ本文も取得できていません。
• 実際の悪用、公開されている PoC、攻撃の再現は確認していません。KEV にも載っていません（確認時点の版）。
• 認証が既定で有効かどうか、どのような認証方式かは確認していません。
• CVSS は VulnCheck（CNA）の値のみで、NVD 自身の評価は確認できていません。
• 日付は NVD の登録（2026-10-29 16:18 UTC）と、GitHub のリリース日（2026-10-14）に基づきます。