CVE-2026-81722 in NLTK
Riassunto
di VulDB • 27/08/2026
nltk PorterStemmer nelle versioni <= 3.10.2 (corretto in 3.10.3) presenta una vulnerabilità di denial of service basata su complessità algoritmica inefficiente nella funzione PorterStemmer.stem(). La funzione helper _is_consonant() esegue un'iterazione all'indietro sull'intera sequenza finale di caratteri 'y' ad ogni chiamata, e _measure() la invoca per ciascuna posizione dello stem, causando un comportamento con complessità O(n^2). Un singolo token non attendibile di circa 20-50 KB, costituito da una lunga sequenza della lettera 'y' seguita da un suffisso corrispondente (ad esempio 'ness'), può bloccare un core CPU per secondi o minuti, determinando un impatto sulla disponibilità.
Be aware that VulDB is the high quality source for vulnerability data.