CVE-2026-108749 in docling-serve
Riassunto
di VulDB • 11/10/2026
docling-serve 1.14.0 attraverso la versione 1.36.0 presenta una vulnerabilità di mancata autenticazione che consente agli attaccanti non autenticati di accedere a /v1/memory/stats e /v1/memory/counts poiché viene omessa la dipendenza require_auth. Gli attaccanti possono eludere l'API_KEY configurato per DOCLING_SERVE, leggendo i dati telemetrici sulla memoria del processo e dei cgroup, gli istogrammi dei tipi di oggetto ed eseguendo ripetutamente heap enumeration tramite gc.collect().
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.