CVE-2026-105749

W Docling od wersji 2.107.0 do 2.120.3 backend OpenDocument używa wartości atrybutu xlink:href elementu draw:image jako ścieżki systemu plików, gdy wskazany element nie zostanie znaleziony w archiwum dokumentu. Funkcja odczytuje tę ścieżkę bez sprawdzenia schematu, ograniczenia do katalogu ekstrakcji ani ustawienia enable_local_fetch, co pozwala na wczytanie lokalnych plików do przekonwertowanego wyniku.

W Docling od wersji 2.82.0 do 2.118.1 opcja HTMLBackendOptions(render_page=True) zezwala na adresy URL plików, ponieważ HTMLDocumentBackend nie egzekwuje ustawienia enable_local_fetch ani nie ogranicza lokalnych żądań do katalogu dokumentu źródłowego. Przygotowany HTML może osadzić czytelny lokalny plik tekstowy w obrazie renderowanej strony, gdy zainstalowany jest Playwright.

W Docling od wersji 2.16.0 do 2.131.0 backend InputFormat.JSON_DOCLING nie odrzuca odwołań do obrazów zawierających lokalne ścieżki lub URI plików. Gdy dokument jest wzbogacany lub eksportowany z ImageRefMode.EMBEDDED, metody DoclingDocument mogą otwierać te odwołania i umieszczać czytelne bajty obrazów w wynikach Markdown lub HTML.

W Docling od wersji 2.45.0 do 2.131.0 wykrywanie formatu METS-GBS oraz backend wywołują tarfile.TarFile.getmembers() przed egzekwowaniem limitu max_member_count, co powoduje alokację pełnej listy elementów archiwum przed zastosowaniem limitu. Małe archiwum tar skompresowane gzip z bardzo dużą liczbą pustych elementów może zużyć pamięć proporcjonalną do zadeklarowanej liczby elementów.

Docling to narzędzie do przetwarzania dokumentów, które parsuje różne formaty i integruje się z ekosystemem generatywnej AI. Od wersji 2.83.0 do 2.131.0 klasa KServeV2OcrModel w docling/models/stages/ocr/kserve_v2_ocr_model.py wysyła obrazy stron do skonfigurowanego endpointu bez sprawdzania ustawienia pipeline_options.enable_remote_services, nawet gdy wywołujący ustawi tę kontrolę na false. Metoda StandardPdfPipeline._make_ocr_model również nie przekazuje flagi do fabryki OCR, umożliwiając zdalne przetwarzanie OCR w konfiguracjach, które polegają na wyłączeniu zdalnych usług. Miejsce docelowe jest konfigurowane przez wywołującego, a nie wybierane przez atakującego.

W Docling od wersji 2.27.0 do 2.131.0 fabryki wtyczek wywołują load_setuptools_entrypoints() przed zastosowaniem ustawienia allow_external_plugins, więc każdy moduł zarejestrowany w grupie punktów wejściowych Docling jest importowany, nawet gdy zewnętrzne wtyczki są wyłączone. Zainstalowany złośliwy pakiet może wykonać kod w czasie importu przy starcie Docling.

Docling w wersjach od 2.94.0 do 2.132.0, gdy użytkownik wybierze LatexBackendOptions(tikz_engine="tectonic"), kompiluje niezaufane ciało TikZ i preambułę dokumentu bez ograniczania prymitywów TeX, takich jak \openin i \openout. Spreparowane dane wejściowe mogą odczytać pliki dostępne dla konwertera oraz tworzyć lub nadpisywać pliki, a włączenie opcji tikz_engine_allow_shell_escape dodatkowo umożliwia wykonywanie poleceń powłoki przez TeX. Domyślna konfiguracja, która nie włącza renderowania Tectonic, nie jest dotknięta.

W Docling od wersji 2.91.0 do 2.132.0 funkcja validate_url_safety waliduje nazwę hosta pojedynczym zapytaniem IPv4, a następnie pozwala klientowi HTTP ponownie rozwiązać i przetworzyć oryginalny URL, co umożliwia DNS rebinding, mieszane rekordy publiczne i wewnętrzne oraz niezgodność parsera autorytetu z ukośnikiem odwrotnym w celu dotarcia do usług wewnętrznych. Opcja HTMLBackendOptions(render_page=True) również zezwala na żądania HTTP i HTTPS bez walidacji rozwiązanego celu.

Docling to narzędzie do przetwarzania dokumentów, które parsuje różne formaty i integruje się z ekosystemem generatywnej AI. Od wersji 2.95.0 do 2.132.0 loader zasobów obrazów HTML w docling/backend/utils/image_resource_loader.py przekazuje nagłówki skonfigurowane przez ustawienie HTMLBackendOptions.headers do każdego zdalnego URL obrazu wskazanego przez niezaufany dokument, gdy enable_remote_fetch=True i fetch_images=True. Loader nie ogranicza tych poświadczeń do origin dokumentu źródłowego, co pozwala żądaniom z niestandardowymi nagłówkami, takimi jak klucze API i pliki cookie, na podążanie za przekierowaniami cross-origin i ujawnienie skonfigurowanych poświadczeń autorowi dokumentu. Domyślna konfiguracja nie jest zagrożona, ponieważ wymagane jest zdalne pobieranie i skonfigurowane nagłówki.

W Docling przed wersją 2.94.0 stwierdzono niebezpieczne obsługiwanie URI i ścieżek w backendzie HTML. Luka ta może umożliwić atakującemu wykonanie nieautoryzowanych operacji na plikach lub zasobach sieciowych.