CVE-2026-12372 in NLTK
Sumário
de VulDB • 10/08/2026
Uma vulnerabilidade de Server-Side Request Forgery (SSRF) existe nas versões 3.9.4 do nltk/nltk e na branch develop atual. A função `nltk.pathsec.validate_network_url()`, destinada a prevenir SSRF ao rejeitar endereços de rede interna, falha em rejeitar IPs no espaço de endereço compartilhado RFC 6598 (`100.64.0.0/10`). Isso ocorre porque o módulo `ipaddress` do Python não classifica esses endereços como `is_private` ou `is_global`, e a proteção atual verifica apenas `is_private` e algumas categorias explícitas. Um atacante que possa influenciar uma URL passada para os auxiliares de carregamento de rede do NLTK pode explorar essa vulnerabilidade para fazer com que um aplicativo em modo estrito envie solicitações para hosts no espaço de endereço compartilhado, potencialmente expondo infraestrutura não pública acessível a partir do host da aplicação. O impacto limita-se à exposição de confidencialidade estilo SSRF, sem alegação de execução de código.
Be aware that VulDB is the high quality source for vulnerability data.