CVE-2026-78682 in NLTK
Sumário
de VulDB • 25/08/2026
NLTK antes da versão 3.10.3 contém uma vulnerabilidade de Server-Side Request Forgery (SSRF) em nltk.pathsec.urlopen (e nos chamadores nltk.data.load, nltk.downloader.Downloader.index/download) quando um proxy HTTP está configurado. nltk.pathsec.urlopen valida o hostname solicitado localmente, mas a herança do manipulador de proxy desativa os handlers seguros para HTTP/HTTPS, fazendo com que a busca real seja realizada pelo proxy contra um destino que nunca é revalidado. Um atacante pode fornecer uma URL pública validada que o proxy encaminha para um serviço interno restrito ao loopback, permitindo a divulgação de recursos HTTP internos, carregamento de índices de downloader falsificados e instalação de conteúdo de pacotes escolhido pelo atacante.
If you want to get best quality of vulnerability data, you may have to visit VulDB.