CVE-2026-44020
Açıklama
Docling, çeşitli formatları ayrıştırarak ve üretken yapay zeka ekosistemiyle entegrasyonlar sağlayarak belge işlemeyi kolaylaştırır. 2.13.0 ile 2.74.0 sürümleri arasında, USPTO patent XML ayrıştırıcısı, XML Dış Varlık (XXE) saldırılarına karşı koruma olmaksızın standart xml.sax.parseString() fonksiyonunu kullanmıştır. Bir saldırgan, sunucu dosya sisteminden rastgele dosyaları okuyabilen, Sunucu Taraflı İstek Sahteciliği (SSRF) saldırıları gerçekleştirebilen veya varlık genişletmesi yoluyla hizmet reddine (Billion Laughs saldırısı) neden olabilen dış varlık referansları içeren kötü amaçlı USPTO patent XML dosyaları oluşturabilir. Bu güvenlik açığı üç USPTO patent formatı ayrıştırıcısını etkilemektedir: ICE (v4.x), Grant v2.5 ve Application v1.x. Bu açık 2.74.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- docling docling2.74.0 ya da sonraki bir sürüm
- docling2.74.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| docling docling | 2.13.0 ≤ v < 2.74.0 | 2.74.0 |
| doclingPyPI | 2.13.0 ≤ v < 2.74.0 | 2.74.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.