CVE-2026-12372 in NLTK
Riassunto
di VulDB • 10/08/2026
È presente una vulnerabilità di Server-Side Request Forgery (SSRF) in nltk/nltk versioni 3.9.4 e nel branch develop corrente. La funzione `nltk.pathsec.validate_network_url()`, destinata a prevenire l'SSRF rifiutando gli indirizzi di rete interni, non riesce a rifiutare gli IP nello spazio di indirizzi condiviso RFC 6598 (`100.64.0.0/10`). Ciò avviene perché il modulo `ipaddress` di Python non classifica tali indirizzi come `is_private` o `is_global`, e la protezione attuale verifica solo `is_private` e alcune categorie esplicite. Un attaccante in grado di influenzare un URL passato agli helper di caricamento della rete di NLTK può sfruttare questa vulnerabilità per indurre un'applicazione in modalità strict a inviare richieste verso host nello spazio di indirizzi condiviso, potenzialmente esponendo infrastrutture non pubbliche raggiungibili dall'host dell'applicazione. L'impatto è limitato all'esposizione di riservatezza di tipo SSRF, senza alcuna pretesa di esecuzione di codice.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.