CVE-2026-104250

unstructured kitabxanası şəkillər və mətn sənədlərinin (PDF, HTML, Word sənədləri və daha çoxu) qəbulu və ön emalı üçün açıq mənbəli komponentlər təmin edir. 0.24.1 versiyasından əvvəl partition_html(html_parser_version="v2") və VLM partisioneri etibarsız sənəd teqlərini, atributlarını, mətnləri və keçid hədəflərini metadata.text_as_html daxilində saxlaya bilər, elements_to_html() isə nəticəni HTML sənədi kimi çıxarır. unstructured/documents/ontology.py faylındakı to_html() yolu çıxışı filtrləmir (escape etmir) və ya təhlükəsiz olmayan URL sxemlərini rədd etmir, bu da hadisə idarəedici (event-handler) atributlarının, atributdan çıxış markapının və javascript: keçidlərinin analizdən sonra qalmasına şərait yaradır. Yaradılmış HTML və ya text_as_html brauzerdə render olunduqda, hücumçu tərəfindən idarə olunan skript baxan şəxsin mənşəyində (origin), o cümlədən imtiyazlı yoxlayıcının göndərilmiş məzmunu açdığı sənəd qəbulu iş axınlarında icra oluna bilər. Bu problem 0.24.1 versiyasında düzəldilmişdir.