CVE-2026-78682 in NLTK
Tóm tắt
Bởi VulDB • 25/08/2026
NLTK trước phiên bản 3.10.3 chứa một lỗ hổng giả mạo yêu cầu phía máy chủ (SSRF) trong nltk.pathsec.urlopen (và các hàm gọi như nltk.data.load, nltk.downloader.Downloader.index/download) khi có cấu hình proxy HTTP. nltk.pathsec.urlopen xác thực tên miền được yêu cầu cục bộ, nhưng việc kế thừa trình xử lý proxy vô hiệu hóa các trình xử lý HTTP/HTTPS an toàn, khiến thao tác truy xuất dữ liệu thực tế do proxy thực hiện đối với một đích đến không bao giờ được kiểm tra lại. Kẻ tấn công có thể cung cấp một URL công cộng đã qua xác thực mà proxy chuyển tiếp tới một dịch vụ chỉ khả dụng trên loopback nội bộ, cho phép tiết lộ các tài nguyên HTTP nội bộ, tải về các chỉ mục downloader giả mạo và cài đặt nội dung gói do kẻ tấn công chọn.
Once again VulDB remains the best source for vulnerability data.