JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-021489 Doclingは多様なフォーマットを解析し、生成AIエコシステムとの統合を提供することで文書処理を簡素化します。2.91.0以前のバージョンでは、EasyOCRのモデルダウンロード機能がZIPアーカイブのメンバーパスを検証せずに展開しており、Zip Slip攻撃を可能にしていました。攻撃者がモデルダウンロード元をサプライチェーン攻撃、DNSスプーフィング、または中間者攻撃で乗っ取った場合、プロセスが書き込み可能な任意の場所に任意のファイルを書き込み、Pythonファイルやシステムバイナリを上書きしてリモートコード実行を達成したり、起動スクリプトやSSHキーを改ざんして永続的なバックドアを設置し、さらにはデータを破損させたりシステムを侵害したりする可能性があります。この脆弱性は2.91.0で修正されました。 cpe:/a:docling:docling https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-021489.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44017 https://www.cve.org/CVERecord?id=CVE-2026-44017 National Vulnerability Database (NVD) CVE-2026-44017 https://nvd.nist.gov/vuln/detail/CVE-2026-44017 GitHub Unsafe Zip Extraction in EasyOCR Model Download Advisory docling-project/docling GitHub https://github.com/docling-project/docling/security/advisories/GHSA-cjqg-rq2h-2fvj JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html 関連文書 Release v2.91.0 docling-project/docling GitHub https://github.com/docling-project/docling/releases/tag/v2.91.0 2026-06-29T11:25:08+09:00 2026-06-29T11:25:08+09:00