CVE-2026-78682 in NLTK
要約
〜によって VulDB • 2026年08月25日
NLTK 3.10.3 より前のバージョンには、HTTP プロキシが設定されている場合に nltk.pathsec.urlopen（およびその呼び出し元である nltk.data.load、nltk.downloader.Downloader.index/download）においてサーバーサイドリクエストフォージェリ (SSRF) の脆弱性が存在します。pathsec.urlopen は要求されたホスト名をローカルで検証しますが、プロキシハンドラの継承により安全な HTTP/HTTPS ハンドラが無効化されるため、実際のフェッチ処理は再検証が行われない宛先に対してプロキシによって実行されます。攻撃者は検証済みの公開 URL を指定し、そのプロキシが内部のループバック専用サービスに転送することで、内部 HTTP リソースの開示、偽造されたダウンローダーインデックスの読み込み、および攻撃者が選択したパッケージコンテンツのインストールを可能にします。
If you want to get best quality of vulnerability data, you may have to visit VulDB.