PT-2026-46120 · Docling · Docling
CVSS v3.1
7.1
عالية
| المتجه | AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Docling من 2.45.0 إلى 2.90.0
الوصف
تفتقر عملية تحليل XML وكشف تنسيق المستندات المدخلة في الخلفية (backend) لـ METS-GBS إلى ضوابط الأمان. وهذا يتيح هجمات الكيان الخارجي لـ XML (XXE)، التي تحدث عندما يتعامل محلل XML بشكل غير صحيح مع مراجع الكيانات الخارجية، مما قد يسمح بقراءة الملفات المحلية أو يتسبب في رفض الخدمة. بالإضافة إلى ذلك، فإن النظام معرض لـ «قنابل فك الضغط» (zip bombs)، حيث تتوسع الأرشيفات الصغيرة إلى أحجام هائلة، ولـ «استخراج الأرشيفات غير المحدود»، وكلاهما يمكن أن يستنفد الذاكرة ومساحة القرص أو يتسبب في تعطل التطبيق.
التوصيات
التحديث إلى الإصدار 2.91.0.
تجنب معالجة أرشيفات METS-GBS من مصادر غير موثوق بها.
التحقق المسبق من صحة الأرشيفات في بيئة معزولة ذات موارد محدودة.
استغلال
إصلاح
XML Entity Expansion
XXE
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Docling