‹ Volver al listado

CVE-2026-108749

Estado: RechazadaSin puntuar—
Gravedad—Sin puntuar
Probabilidad de explotación0.30 %mayor que el 21 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoNo conocidosin código público localizado

docling-serve 1.14.0 a 1.36.0 contiene una vulnerabilidad de autenticación faltante que permite a atacantes no autenticados acceder a /v1/memory/stats y /v1/memory/counts porque omiten la dependencia require_auth. Los atacantes pueden eludir la DOCLING_SERVE_API_KEY configurada para leer telemetría de memoria de procesos y cgroups, histogramas de tipos de objetos y forzar enumeración de montículos mediante gc.collect() repetido.

Traducción automática del texto original de NVD (en inglés).

CVSS

NVD no ha asignado puntuación CVSS a esta CVE (habitual desde el cambio de política de abril de 2026).

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.30 %
Percentil entre todas las CVEs puntuadas
21
Fecha de la puntuación
16/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector CVSS:4.0 con AV:N/AC:L/PR:N/UI:N indica acceso remoto sin autenticación ni interacción (T1190). La vulnerabilidad permite bypasear el API_KEY configurado (T1078), accediendo a endpoints que leen telemetría de memoria y estadísticas del proceso (T1005).

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementApplication Developer GuidanceActive Directory ConfigurationVulnerability ScanningUser TrainingUser Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Docling Serve — Docling ServeAI

CWE

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-108749",
  "cveTags": [],
  "metrics": {},
  "published": "2026-10-11T13:17:19.670",
  "references": [],
  "vulnStatus": "Rejected",
  "descriptions": [
    {
      "lang": "en",
      "value": "Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority."
    }
  ],
  "lastModified": "2026-10-18T22:10:00.100",
  "sourceIdentifier": "disclosure@vulncheck.com"
}