CVE-2026-12372
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność typu Server-Side Request Forgery (SSRF) istnieje w nltk/nltk w wersji 3.9.4 i w bieżącej gałęzi develop. Funkcja nltk.pathsec.validate_network_url(), mająca zapobiegać SSRF poprzez odrzucanie adresów sieci wewnętrznej, nie odrzuca adresów IP z przestrzeni współdzielonej RFC 6598 (100.64.0.0/10). Dzieje się tak, ponieważ moduł ipaddress w Pythonie nie klasyfikuje takich adresów jako is_private ani is_global, a obecna kontrola sprawdza tylko is_private i kilka jawnych kategorii. Atakujący, który może wpływać na URL przekazywany do pomocników ładowania sieciowego NLTK, może wykorzystać tę podatność, aby aplikacja w trybie ścisłym wysyłała żądania do hostów w przestrzeni współdzielonej, potencjalnie ujawniając niepubliczną infrastrukturę dostępną z hosta aplikacji. Wpływ ogranicza się do ujawnienia poufności w stylu SSRF, bez deklaracji wykonania kodu.
Ocena ryzyka
Atakujący może wykorzystać SSRF do wysyłania żądań do wewnętrznych zasobów w przestrzeni współdzielonej, co może ujawnić niepubliczne usługi i dane.
Rekomendacja
Zaktualizuj NLTK do wersji z poprawką lub ręcznie rozszerz walidację adresów IP o blok 100.64.0.0/10. Ogranicz możliwość wpływania na URL-e przekazywane do NLTK.
Oryginalny opis (angielski, źródło NVD)
A Server-Side Request Forgery (SSRF) vulnerability exists in nltk/nltk versions 3.9.4 and the current develop branch. The `nltk.pathsec.validate_network_url()` function, intended to prevent SSRF by rejecting internal network addresses, fails to reject IPs in the RFC 6598 shared address space (`100.64.0.0/10`). This occurs because Python's `ipaddress` module does not classify such addresses as `is_private` or `is_global`, and the current guard only checks `is_private` and a few explicit categories. An attacker who can influence a URL passed to NLTK's network-loading helpers can exploit this vulnerability to make a strict-mode application send requests to shared-address-space hosts, potentially exposing non-public infrastructure reachable from the application host. The impact is limited to SSRF-style confidentiality exposure, with no code execution claimed.