CVE-2026-44020

Nome do Software Vulnerável e Versões Afetadas Docling versões anteriores a 2.74.0

Descrição O analisador de XML de patentes do USPTO utiliza a função xml.sax.parseString() sem proteção contra ataques de Entidade Externa XML (XXE). Isso permite que um invasor utilize arquivos XML maliciosos com referências a entidades externas para ler arquivos arbitrários do sistema de arquivos do servidor, realizar Server-Side Request Forgery (SSRF) ou causar a negação de serviço por meio de expansão de entidades, também conhecida como ataque Billion Laughs.

Recomendações Atualize para a versão 2.74.0. Evite processar arquivos XML de patentes do USPTO de fontes não confiáveis. Implemente limites de recursos de memória e tempo de CPU ao processar documentos de patentes.