PT-2026-146629
CVE-2026-126298
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-14
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
NLTK الإصدارات السابقة لـ 3.10.4
Description
توجد ثغرة تسمح للمهاجمين عن بُعد بالتسبب في حالة رفض الخدمة من خلال استنفاد موارد وحدة المعالجة المركزية (CPU). يحدث هذا عندما يقوم التطبيق بمعالجة شجرة treebank عريضة ومسطحة باستخدام محلل
Tree.fromstring ثم يقوم بتطبيعها باستخدام الدالة Tree.chomsky normal form(). تستخدم عملية التثني (binarization) الافتراضية للعامل الأيمن list.pop(0)، مما يؤدي إلى تعقيد زمني تربيعي O(N^2) لأنه يقوم بإزاحة جميع العناصر المتبقية في القائمة في كل تكرار. يمكن للمهاجم تقديم شجرة مصممة خصيصًا (حوالي 1.5 ميجابايت) لفرض استهلاك مستمر لوحدة المعالجة المركزية أحادية الخيط لعدة ثوانٍ، مما يؤدي إلى حظر خيط المعالجة. يؤثر هذا على الدالة nltk.tree.transforms.chomsky normal form ونقاط النهاية Tree.chomsky normal form و Tree.fromstring.Recommendations
تحديث NLTK إلى الإصدار 3.10.4 أو إصدار أحدث.
كإجراء مؤقت، قم بتقييد الحد الأقصى لعدد الأبناء للأشجار المقبولة للتطبيع أو قم بتشغيل عملية التحويل داخل عامل معزول بميزانية زمنية أو ميزانية وحدة معالجة مركزية صارمة.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾