CVE-2026-12372 in NLTK
Сводка
по VulDB • 10.08.2026
Уязвимость Server-Side Request Forgery (SSRF) существует в библиотеке nltk/nltk версиях 3.9.4 и текущей ветви разработки. Функция `nltk.pathsec.validate_network_url()`, предназначенная для предотвращения SSRF путем отклонения адресов внутренней сети, не блокирует IP-адреса из общего пространства адресов RFC 6598 (`100.64.0.0/10`). Это происходит потому, что модуль Python `ipaddress` не классифицирует такие адреса как `is_private` или `is_global`, а текущая проверка ограничивается только флагом `is_private` и несколькими явными категориями. Атакующий, способный повлиять на URL-адрес, передаваемый в функции загрузки сети NLTK, может эксплуатировать эту уязвимость для отправки запросов приложения со строгими настройками к хостам из общего пространства адресов, что потенциально приводит к раскрытию конфиденциальной информации о непубличной инфраструктуре, доступной с узла приложения. Влияние ограничивается утечкой конфиденциальности в стиле SSRF; об исполнении кода не сообщается.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.