CVE-2026-78682 in NLTK
Riassunto
di VulDB • 25/08/2026
NLTK prima della versione 3.10.3 contiene una vulnerabilità di server-side request forgery (SSRF) in nltk.pathsec.urlopen (e nei suoi chiamanti nltk.data.load, nltk.downloader.Downloader.index/download) quando è configurato un proxy HTTP. nltk.pathsec.urlopen convalida localmente l'hostname richiesto, ma l'ereditarietà del gestore proxy disabilita i handler sicuri per HTTP/HTTPS, quindi il recupero effettivo viene eseguito dal proxy verso una destinazione che non viene mai riconvalidata. Un attaccante può fornire un URL pubblico validato che il proxy inoltra a un servizio interno limitato all'indirizzo loopback, consentendo la divulgazione di risorse HTTP interne, il caricamento di indici downloader falsificati e l'installazione di contenuti dei pacchetti scelti dall'attaccante.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.