CrewAI crewai-tools: Server-Side Request Forgery in SeleniumScrapingTool

Zusammenfassung

SeleniumScrapingTool in crewai-tools bis 1.15.28 wendet die Prüfung auf private Adressen über validate_url auf die geladene URL nicht an. Ein Angreifer, der die Tooleingabe beeinflussen kann, etwa durch Prompt Injection in Webinhalten, die ein Agent liest, kann den lokalen headless Chrome-Browser veranlassen, Loopback-, private Netzwerk- oder Cloud-Metadatenadressen abzurufen. Dadurch können interne Daten und Cloud-Zugangsdaten offengelegt werden. CVSS v4.0 bewertet die Lücke mit 8.3 (High); der CNA-Eintrag zeigt keine Ausnutzung, und die SSVC-Bewertung stuft sie als nicht automatisierbar ein.

Betroffen

• crewai-tools Versionen 0 bis 1.15.28 (crewAIInc/crewAI)
• Komponente: SeleniumScrapingTool

Behoben in

• Unbekannt. Die Korrektur ist GitHub PR #6870 ("block private URLs in SeleniumScrapingTool"), der URLs über validate_url prüft.
• Die erste Version mit dieser Korrektur konnte nicht bestätigt werden. Prüfen Sie die Versionshinweise von crewAI und den PR, bevor Sie sich auf eine Versionsnummer verlassen.

Umgehung

• SeleniumScrapingTool von Agenten entfernen, die nicht vertrauenswürdige Eingaben verarbeiten, bis die Korrektur bestätigt ist.
• Ausgehenden Verkehr von Agent-Hosts einschränken, insbesondere zu 127.0.0.0/8, RFC1918-Bereichen und 169.254.169.254.
• Auf Cloud-VMs, die Agenten ausführen, IMDSv2 oder eine gleichwertige Lösung erzwingen.
• Agenten mit Cloud-Identitäten mit minimalen Berechtigungen betreiben.

Ausnutzung

• Nicht bekannt, dass die Lücke aktiv ausgenutzt wird. Der CISA-KEV-Katalog wurde nicht geprüft.
• Kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
• Die Ausnutzung erfolgt indirekt und erfordert, dass die vom Agenten an das Tool übergebene URL beeinflusst wird.

Unsere Empfehlung

• Alle Systeme mit crewai-tools erfassen (pip-Lockfiles, Container-Images).
• SeleniumScrapingTool entfernen oder deaktivieren, wo es nicht unverzichtbar ist.
• Auf eine crewai-tools-Version aktualisieren, von der bestätigt ist, dass sie PR #6870 enthält, und die Korrektur im installierten Code prüfen.
• Cloud-Identitäten und Metadatenzugriff von Hosts mit Agenten überprüfen.
• Ausgehende Verbindungen der Agenten zu internen und Metadatenadressen überwachen.
• Systeme ohne crewai-tools benötigen keine Massnahme.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub PR #6870: block private URLs in SeleniumScrapingTool github.com
• Vulnerable file at version 1.15.28 github.com
• VulnCheck advisory: crewai-tools SSRF via SeleniumScrapingTool www.vulncheck.com
• OpenCVE: CVE-2026-112308 app.opencve.io
• VulDB: vuln 422413 vuldb.com
• OSV: CVE-2026-112308 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:34.