背景 / 根本原因

DoclingDocument.load_from_yaml() は、YAMLシリアライズされた DoclingDocument をデシリアライズします。脆弱なバージョンでは、PyYAML が脆弱な場合に安全でないローダー（yaml.FullLoader）を使用してYAMLを読み込むため、悪意のあるYAMLコンストラクタが解析中にコードを実行できる可能性があります（詳細は CVE-2020-14343 を参照）。

テスト環境（PoC）

• OS: Ubuntu 24.04
• Python: 3.12.3
• docling-core: 2.48.3（脆弱）
• PyYAML: 5.3.1（脆弱）

再現手順（PoC）

1) 仮想環境を作成

2)（任意）脆弱なローダーの確認

以下を実行:

脆弱なバージョンでは、load_from_yaml() は以下を使用します:

3) PoCを実行

期待される動作:

• repro_docling_load.py が ValidationError を発生させる（想定内）
• ローカルマーカーファイルが作成される: /tmp/docling_cve_poc_marker

これは、DoclingDocument.model_validate(...) が失敗する前に、YAML解析中に実行が発生したことを示しています。

緩和策 / パッチ検証

緩和策 1 — docling-core のアップグレード（推奨）

期待される結果:

• check_loader.py が yaml.SafeLoader を表示
• PoC がYAMLコンストラクタエラーで失敗し、マーカーファイルは作成されない

緩和策 2 — PyYAML のアップグレード

PyYAML を >= 5.4 にアップグレードすると、CVE-2020-14343 に関連する上流の動作が緩和されます。

緩和策 3 — 安全な読み込みの強制

アップグレードが不可能な場合は、安全でないローダーで信頼できないYAMLを読み込まないようにしてください。信頼できないYAMLをデシリアライズする際は、yaml.SafeLoader を強制してください。

下流の docling 露出に関するメモ（依存関係マッピング）

このCVEは docling-core にありますが、最も一般的な利用者は docling です。docling の広範な依存関係範囲は、それ自体では脆弱性を証明しません。重要なのは、解決された環境（ロックファイル / インストール済みパッケージ）と、YAMLインポートパスが使用されているかどうかです。

このリポジトリには collect_versions.py が含まれており、以下をマッピングします:

• pyproject.toml から宣言された docling-core 制約
• uv.lock（または古いタグでは poetry.lock）から固定された docling-core バージョン

抽出されたデータから、潜在的に脆弱な docling バージョン（制約が脆弱なバージョンを許可し、ロックが脆弱なバージョンを固定）は以下の通りです:

• >= v2.27.0 かつ <= v2.57.0

これは依存関係解決の指標であり、デフォルトの docling ワークフローが信頼できない入力に対して load_from_yaml() に到達することを証明するものではありません。

リポジトリの内容（概要）

• repro_docling_load.py — 最小限のPoCランナー
• check_loader.py — load_from_yaml() が使用するYAMLローダーを表示
• scanner/ — シンプルな依存関係ベースのスキャナー（任意の直接シンクチェック）
• collect_versions.py — docling タグを固定された docling-core バージョンにマッピングするヘルパー