CVE-2026-78682 in NLTK
Zusammenfassung
von VulDB • 25.08.2026
NLTK vor Version 3.10.3 enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle in nltk.pathsec.urlopen (sowie den Aufrufern nltk.data.load und nltk.downloader.Downloader.index/download), wenn ein HTTP-Proxy konfiguriert ist. nltk.pathsec.urlopen validiert den angeforderten Hostnamen lokal, jedoch deaktiviert die Vererbung des Proxy-Handlers die sicheren HTTP/HTTPS-Handler, sodass der eigentliche Abruf vom Proxy gegenüber einem Ziel durchgeführt wird, das niemals erneut überprüft wird. Ein Angreifer kann eine gültige öffentliche URL bereitstellen, die der Proxy an einen internen Loopback-nur-Dienst weiterleitet, was zur Offenlegung interner HTTP-Ressourcen, zum Laden gefälschter Downloader-Indizes und zur Installation von vom Angreifer gewählten Paketinhalten führt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.