CVE-2024-56800

概要

Firecrawlは、ユーザーが大規模言語モデル用にWebページのコンテンツを抽出できるWebスクレイパーです。1.1.1より前のバージョンには、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。スクレイピングエンジンは、ローカルIPアドレスにリダイレクトする悪意のあるサイトを細工することで悪用される可能性がありました。これにより、APIを通じてローカルネットワークリソースの外部への持ち出しが可能になりました。クラウドサービスは2024年12月27日にパッチが適用され、メンテナはこの脆弱性によってユーザーデータが公開されていないことを確認しました。オープンソース版のFirecrawlで使用されているスクレイピングエンジンは、2024年12月29日にパッチが適用されましたが、メンテナがパッチ適用不可能と判断したplaywrightサービスを除きます。オープンソースソフトウェア（OSS）Firecrawlの全ユーザーは、v1.1.1にアップグレードする必要があります。回避策として、OSS Firecrawlユーザーはplaywrightサービスに安全なプロキシを提供する必要があります。プロキシは、環境変数の`PROXY_SERVER` envを通じて指定できます。手順についてはドキュメントを参照してください。使用しているプロキシサーバーが、リンクローカルIPアドレスへのすべてのトラフィックをブロックするように設定されていることを確認してください。

• cve-2024-56800-pocPoC

  Firecrawl WebスクレイパーにおけるSSRF脆弱性（CVE-2024-56800、CVE-2025-57818）を示す概念実証エクスプロイト。自己ホスト型セットアップと悪意のあるリダイレクトサーバーを使用。