Docling Core: Insufficient validation of image reference URIs
Impact
In versions >= 2.5.0, < 2.74.1, docling-core could allow local file:// image references and accepted inline data: content without a decoded-size limit.
In applications that accept untrusted image references, this may allow access to local files readable by the process or excessive memory use from large inline payloads.
Patches
Patched in docling-core 2.74.1.
The fix blocks local file URIs by default and adds a size limit for decoded inline image data.
Users should upgrade to:
docling-core>= 2.74.1
Workarounds
If upgrading is not immediately possible:
- reject
file:anddata:image references from untrusted input - allow only approved local or remote image sources
- apply input size and memory limits to processing workers
References
- Fix release:
v2.74.1
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | docling-core | >= 2.5.0, < 2.74.1 | 2.74.1 |
Referencias
- https://github.com/docling-project/docling-core/security/advisories/GHSA-j5xp-7m2f-49jv
- https://github.com/docling-project/docling-core
- https://github.com/docling-project/docling-core/releases/tag/v2.74.1
- https://pypi.org/project/docling-core
- https://github.com/advisories/GHSA-j5xp-7m2f-49jv
- https://nvd.nist.gov/vuln/detail/CVE-2026-44019
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:H- Debilidad (CWE)
CWE-400, CWE-73- Plataforma
- Python (PyPI)
- Paquete
docling-core- Publicada
- 03.06.2026
- Actualizado
- 11.10.2026 14:18
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-2456 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-j5xp-7m2f-49jv - CC BY 4.0
Historial de vulnerabilidades: docling-core
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 3
- Primera → última
- 01.2026 06.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 3
Divulgaciones por año
- 2026: 3
-
Docling Core: Insufficient validation of image reference URIs esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.