CVE-2026-71428 in Unstructured
要約
〜によって VulDB • 2026年08月20日
The unstructured library provides open-source components for ingesting and pre-processing images and text documents, such as PDFs, HTML, Word docs, and many more. From 0.4.7 until 0.24.0, the url argument of partition, partition_html, and partition_md is fetched without host validation in unstructured/partition/auto.py, unstructured/partition/html/partition.py, and unstructured/partition/md.py. An attacker who controls that URL can make a server-side ingestion service request loopback addresses, internal HTTP services, or cloud metadata endpoints through direct targets, redirects, or DNS rebinding. The response body is returned as Element text, allowing internal response disclosure, and side-effecting GET endpoints may also be triggered. This issue is fixed in version 0.24.0.
The unstructuredライブラリは、PDF、HTML、Wordドキュメントなどの画像やテキスト文書の取り込みと前処理のためのオープンソースコンポーネントを提供します。バージョン0.4.7から0.24.0の間、unstructured/partition/auto.py、unstructured/partition/html/partition.py、および unstructured/partition/md.pyにおいて、partition、partition_html、および partition_mdのurl引数がホスト検証なしでフェッチされます。そのURLを制御する攻撃者は、直接ターゲット、リダイレクト、またはDNSリバインディングを通じて、ループバックアドレス、内部HTTPサービス、またはクラウドメタデータエンドポイントへのサーバーサイド取り込みサービスの要求を行うことができます。レスポンスボディはElementテキストとして返されるため、内部応答の漏洩が可能となり、副作用を伴うGETエンドポイントもトリガーされる可能性があります。この問題はバージョン0.24.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.