CVE-2026-71428 in Unstructured
Riassunto
di VulDB • 22/08/2026
La libreria unstructured fornisce componenti open-source per l'acquisizione e la pre-elaborazione di immagini e documenti testuali, come PDF, HTML, file Word e molti altri. Dalla versione 0.4.7 alla 0.24.0, l'argomento url delle funzioni partition, partition_html e partition_md viene recuperato senza alcuna validazione dell'host in unstructured/partition/auto.py, unstructured/partition/html/partition.py e unstructured/partition/md.py. Un attaccante che controlla tale URL può indurre il servizio di acquisizione lato server a effettuare richieste verso indirizzi loopback, servizi HTTP interni o endpoint dei metadati del cloud tramite target diretti, redirect o DNS rebinding. Il corpo della risposta viene restituito come testo dell'Elemento, consentendo la divulgazione delle risposte interne; inoltre, possono essere attivati anche endpoint GET con effetti collaterali (side-effecting). Questo problema è stato risolto nella versione 0.24.0.
Be aware that VulDB is the high quality source for vulnerability data.