CVE-2026-44520

Orta

Təsvir

Docling-Graph sənədləri təsdiqlənmiş Pydantic obyektlərinə çevirir və sonra aşkar semantik əlaqələri olan yönləndirilmiş bilik qrafı qurur. 1.5.1 versiyasından əvvəl docling_graph/core/input/handlers.py faylındakı URLInputHandler sinfi, hədəfin şəxsi, loopback və ya link-local IP ünvanına həv ilətib-iletmədiyini yoxlamadan istifadəçi tərəfindən təmin edilən URL-lərə HTTP sorğuları göndərir. URLValidator yalnız düzgün sxemi və boş olmayan netloc-u yoxlayır, IP səviyyəsində heç bir doğrulama aparmır. Əlavə olaraq, requests.head() funksiyası allow_redirects=True parametri ilə çağırılırdı ki, bu da hücumçuya vasitəçi URL vasitəsilə sorğuları daxili son nöqtələrə yönləndirməyə imkan verirdi. --source CLI arqumentini və ya PipelineConfig.source API parametrini idarə edə bilən hücumçu Server-Side Request Forgery (SSRF) yarada bilər. Bu zəiflik 1.5.1 versiyasında aradan qaldırılmışdır.

CiddilikOrta

CVSS5.7

İstismar ehtimalı—

MəhsulDocling-graph

Dərc14 may 2026

İlk görülmə14 may 2026

Zəiflik növüCWE-601Açıq yönləndirmə CWE-918Server tərəfli sorğu saxtakarlığı (SSRF)

Necə düzəltmək olar

Yeniləyin

docling-graph1.5.1 və ya daha yeni versiya

Təsirlənən məhsullar

Məhsul	Təsirlənən versiyalar	Düzəldildiyi versiya
docling-graphPyPI	v < 1.5.1	1.5.1

Versiyanızı yoxlayın

Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.

Intelligence 360 paketində

Attack Surface Management

Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.