CVE-2026-71428 in Unstructured
Résumé
par VulDB • 21/08/2026
La bibliothèque unstructured fournit des composants open source pour l'ingestion et le prétraitement de documents image et texte, tels que les PDF, HTML, fichiers Word, etc. De la version 0.4.7 à la version 0.24.0, l'argument url des fonctions partition, partition_html et partition_md est récupéré sans validation de l'hôte dans unstructured/partition/auto.py, unstructured/partition/html/partition.py et unstructured/partition/md.py. Un attaquant qui contrôle cette URL peut amener le service d'ingestion côté serveur à effectuer des requêtes vers les adresses en boucle locale (loopback), les services HTTP internes ou les points de terminaison de métadonnées cloud via des cibles directes, des redirections ou du rebond DNS. Le corps de la réponse est renvoyé sous forme de texte d'élément, permettant une divulgation de réponses internes, et les points de terminaison GET ayant des effets secondaires peuvent également être déclenchés. Ce problème est corrigé dans la version 0.24.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.