CVE-2026-63311 in NLTK
요약
\~에 의해 VulDB • 2026. 08. 22.
NLTK 3.10.0 이전 버전(영향 받는 버전 <= 3.9.4)은 nltk/pathsec.py의 validate_network_url() 함수에서 서버 사이드 요청 위조(SSRF) 취약점을 포함합니다. _resolve_hostname() 헬퍼는 socket.getaddrinfo() 중 OSError 및 ValueError를 포착하여 빈 리스트를 반환하며, DNS 확인이 실패할 경우 검증 루프가 IP 검사를 수행하지 않고 함수가 개방된 상태로 처리되어 urlopen()이 검증 없이 계속 진행됩니다. DNS 확인 오류를 유발하거나 DNS 리바인딩을 사용할 수 있는 공격자는 SSRF 보호 장치를 우회하여 클라우드 메타데이터 엔드포인트(예: 169.254.169.254)를 포함한 제한된 네트워크 자원에 접근할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.