CVE-2026-12372 in NLTK
要約
〜によって VulDB • 2026年08月10日
nltk/nltk バージョン 3.9.4 および現在の develop ブランチには、Server-Side Request Forgery (SSRF) の脆弱性が存在します。内部ネットワークアドレスを拒否することで SSRF を防止することを目的とした `nltk.pathsec.validate_network_url()` 関数は、RFC 6598 で定義された共有アドレス空間（`100.64.0.0/10`）内の IP アドレスの拒却に失敗します。これは、Python の `ipaddress` モジュールがこれらのアドレスを `is_private` や `is_global` と分類しないためであり、現在のガードは `is_private` およびいくつかの明示的なカテゴリのみをチェックしていることに起因します。NLTK のネットワーク読み込みヘルパー関数に渡される URL に影響を与えることができる攻撃者は、この脆弱性を悪用して、厳格モードで動作するアプリケーションが共有アドレス空間内のホストに対してリクエストを送信させることができ、結果としてアプリケーションホストから到達可能な非公開インフラストラクチャの機密情報が漏洩する可能性があります。本脆弱性の影響は SSRF 形式の機密情報漏洩に限定され、コード実行の可能性は主張されていません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.