CVE-2026-12372 in NLTK
الملخص
بحسب VulDB • 10/08/2026
توجد ثغرة في خداع طلبات جانب الخادم (SSRF) في مكتبات nltk/nltk الإصدار 3.9.4 وفرع التطوير الحالي (develop branch). تفشل دالة `nltk.pathsec.validate_network_url()`، المصممة لمنع SSRF عن طريق رفض عناوين الشبكة الداخلية، في رفض العناوين IP التابعة لمساحة العناوات المشتركة المحددة في RFC 6598 (`100.64.0.0/10`). يحدث هذا لأن وحدة `ipaddress` في بايثون لا تصنف هذه العناوين على أنها `is_private` أو `is_global`، بينما يتحقق الحارس الحالي فقط من حالة `is_private` وفئات صريحة قليلة أخرى. يمكن لمهاجم قادر على التأثير في عنوان URL يتم تمريره إلى أدوات تحميل الشبكة الخاصة بـ NLTK استغلال هذه الثغرة لإجبار تطبيق يعمل في الوضع الصارم (strict-mode) على إرسال طلبات إلى مضيفين ضمن مساحة العناوات المشتركة، مما قد يؤدي إلى كشف البنية التحتية غير العامة التي يمكن الوصول إليها من مضيف التطبيق. يقتصر التأثير على تسريب سرية بنمط SSRF، دون ادعاء بإمكانية تنفيذ الأكواد البرمجية.
If you want to get best quality of vulnerability data, you may have to visit VulDB.