CVE-2026-105742

Docling, çeşitli formatları ayrıştırarak ve üretken yapay zeka ekosistemiyle entegrasyonlar sağlayarak belge işlemeyi kolaylaştırır. 2.95.0 ile 2.132.0 sürümleri arasında, docling/backend/utils/image_resource_loader.py dosyasındaki HTML görüntü kaynağı yükleyicisi; enable_remote_fetch=True ve fetch_images=True olduğunda, HTMLBackendOptions.headers ayarı aracılığıyla yapılandırılan üstbilgileri (headers), güvenilmeyen bir belge tarafından adlandırılan her uzak görüntü URL'sine iletir. Yükleyici, bu kimlik bilgilerini kaynak belgenin kökeniyle sınırlandırmaz; bu durum, API anahtarları ve çerezler gibi özel üstbilgiler taşıyan isteklerin çapraz kökenli yönlendirmeleri takip etmesine ve arayan kişinin yapılandırılmış kimlik bilgilerinin bir belge yazarına ifşa edilmesine olanak tanır. Uzak getirme ve yapılandırılmış üstbilgiler gerektiğinden varsayılan yapılandırma etkilenmez. Bu sorun 2.132.0 sürümünde düzeltilmiştir.