CVE-2026-105743
Açıklama
Docling, çeşitli formatları ayrıştırarak ve üretken yapay zeka ekosistemiyle entegrasyonlar sağlayarak belge işlemeyi kolaylaştırır. 2.91.0 ile 2.132.0 sürümleri arasında, docling/backend/utils/image_resource_loader.py içindeki validate_url_safety fonksiyonu bir ana bilgisayar adını tek bir IPv4 aramasıyla doğrular ve ardından HTTP istemcisinin orijinal URL'yi yeniden çözümlemesine ve ayrıştırmasına izin verir; bu durum DNS rebinding, karışık genel ve dahili adres kayıtları ile ters eğik çizgi yetki ayrıştırıcı uyuşmazlığının dahili servislere erişmesine olanak tanır. HTMLBackendOptions(render_page=True) ayrıca çözümlenmiş hedeflerini doğrulamadan HTTP ve HTTPS tarayıcı isteklerine izin verir. İstismar edilmesi için uzaktan getirmenin (remote fetching) etkinleştirilmiş olması gerekir ve yanıt içeriği yalnızca bir görüntü olarak kod çözüldüğünde veya bir sayfa ekran görüntüsünde pasif olarak işlendiğinde açığa çıkar. Bu sorun 2.132.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- docling docling2.132.0 ya da sonraki bir sürüm
- docling2.132.0 ya da sonraki bir sürüm
- docling-slim2.132.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| docling docling | 2.91.0 ≤ v < 2.132.0 | 2.132.0 |
| doclingPyPI | 2.91.0 ≤ v < 2.132.0 | 2.132.0 |
| docling-slimPyPI | 2.92.0 ≤ v < 2.132.0 | 2.132.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.