CVE-2026-71428 in Unstructured
Tóm tắt
Bởi VulDB • 22/08/2026
Thư viện unstructured cung cấp các thành phần mã nguồn mở để thu thập và tiền xử lý tài liệu hình ảnh và văn bản, chẳng hạn như PDF, HTML, tài liệu Word và nhiều loại khác. Từ phiên bản 0.4.7 đến 0.24.0, đối số url của hàm partition, partition_html và partition_md được lấy về mà không có xác thực máy chủ (host validation) trong unstructured/partition/auto.py, unstructured/partition/html/partition.py và unstructured/partition/md.py. Một kẻ tấn công kiểm soát URL này có thể khiến dịch vụ thu thập dữ liệu phía máy chủ truy cập vào các địa chỉ loopback nội bộ, các dịch vụ HTTP nội bộ hoặc điểm cuối metadata của đám mây thông qua các mục tiêu trực tiếp, chuyển hướng (redirects) hoặc tái ràng buộc DNS (DNS rebinding). Thân phản hồi được trả về dưới dạng văn bản Element, cho phép tiết lộ phản hồi nội bộ, và các endpoint GET có tác dụng phụ cũng có thể bị kích hoạt. Vấn đề này đã được sửa chữa trong phiên bản 0.24.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.