CVE-2026-78682 in NLTK
Résumé
par VulDB • 25/08/2026
NLTK avant la version 3.10.3 contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans nltk.pathsec.urlopen (et les appelants nltk.data.load, nltk.downloader.Downloader.index/download) lorsqu'un proxy HTTP est configuré. pathsec.urlopen valide le nom d'hôte demandé localement, mais l'héritage du gestionnaire de proxy désactive les handlers HTTP/HTTPS sécurisés, de sorte que la récupération effective est effectuée par le proxy vers une destination qui n'est jamais re-validée. Un attaquant peut fournir une URL publique validée que le proxy redirige vers un service interne accessible uniquement en boucle locale (loopback), permettant ainsi la divulgation de ressources HTTP internes, le chargement d'index de téléchargement falsifiés et l'installation de contenu de package choisi par l'attaquant.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.