CVE-2026-71428

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.3
EPSS: 0.3%
CWE: CWE-601
KEV Durumu: Hayır

Yayım tarihi: 20 Ağustos 2026

Unstructured kütüphanesi, PDF'ler, HTML, Word belgeleri ve daha fazlası gibi görseller ve metin belgelerini işleme ve ön işleme için açık kaynaklı bileşenler sağlar. 0.4.7'den 0.24.0'a kadar, partition, partition_html ve partition_md'nin url argümanı, unstructured/partition/auto.py, unstructured/partition/html/partition.py ve unstructured/partition/md.py'de konak doğrulaması olmadan alınır. O URL'yi kontrol eden bir saldırgan, doğrudan hedefler, yönlendirmeler veya DNS yeniden bağlama yoluyla sunucu tarafı işleme hizmetinin loopback adreslerine, dahili HTTP hizmetlerine veya bulut meta veri son noktalarına istek göndermesini sağlayabilir. Yanıt gövdesi, Element metni olarak döndürülür, dahili yanıt açığını sağlar ve yan etkileri olan GET son noktaları da tetiklenebilir. Bu sorun 0.24.0 sürümünde çözülmüştür.

Orijinal açıklama (İngilizce)

The unstructured library provides open-source components for ingesting and pre-processing images and text documents, such as PDFs, HTML, Word docs, and many more. From 0.4.7 until 0.24.0, the url argument of partition, partition_html, and partition_md is fetched without host validation in unstructured/partition/auto.py, unstructured/partition/html/partition.py, and unstructured/partition/md.py. An attacker who controls that URL can make a server-side ingestion service request loopback addresses, internal HTTP services, or cloud metadata endpoints through direct targets, redirects, or DNS rebinding. The response body is returned as Element text, allowing internal response disclosure, and side-effecting GET endpoints may also be triggered. This issue is fixed in version 0.24.0.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.