CVE-2026-78682 in NLTK
요약
\~에 의해 VulDB • 2026. 08. 25.
NLTK 3.10.3 이전 버전에는 nltk.pathsec.urlopen(및 호출자인 nltk.data.load, nltk.downloader.Downloader.index/download)에서 서버 사이드 리퀘스트 포지리(SSRF) 취약점이 존재합니다. 이는 HTTP 프록시가 구성된 경우 발생합니다. pathsec.urlopen은 요청된 호스트명을 로컬로 검증하지만, 프록시 핸들러 상속으로 인해 안전한 HTTP/HTTPS 핸들러가 비활성화되어 실제 데이터 가져오기는 재검증되지 않는 대상에 대해 프록시에 의해 수행됩니다. 공격자는 내부 루프백 전용 서비스로 프록시가 전달하는 유효한 공개 URL을 제공하여, 내부 HTTP 리소스의 유출, 위조된 다운로더 인덱스 로딩 및 공격자가 선택한 패키지 콘텐츠 설치를 허용할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.