PT-2026-146628
CVE-2026-126297
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-14
الوصف من
CVSS 4.0
8.7
عاليةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
NLTK الإصدارات السابقة لـ 3.10.4
Description
توجد ثغرة تؤدي إلى حجب الخدمة حيث يمكن للمهاجمين عن بُعد استنفاد موارد وحدة المعالجة المركزية (CPU) من خلال تقديم مجموعة بيانات CoNLL SRL مصممة خصيصًا. تحدث المشكلة عندما تقوم نقطة الدخول العامة
srl instances() باستدعاء الدالة get srl instances()، والتي تقوم بإجراء إعادة فحص متداخل لأعمدة النطاق (span columns) لكل مسند (predicate). من خلال وضع نطاق الرأس في العمود الأخير، يمكن للمهاجم فرض عملية ذات وقت تربيعي O(P^2 * R)، حيث P هو عدد المسندات و R هو عدد النطاقات. يمكن أن يؤدي ذلك إلى إشغال نواة وحدة المعالجة المركزية لعدة دقائق باستخدام بضعة ميجابايت فقط من البيانات. لا يتطلب الأمر أي مصادقة أو تفاعل من المستخدم لحدوث ذلك.Recommendations
التحديث إلى الإصدار 3.10.4 أو أحدث.
كإجراء مؤقت، قم بتقييد استخدام الدالة
srl instances() عند معالجة بيانات CoNLL غير موثوقة.
كإجراء مؤقت، قم بتحديد الحد الأقصى لحجم ملفات مجموعة البيانات المقبولة لتقليل تأثير استنفاد وحدة المعالجة المركزية.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾