PT-2026-146631
CVE-2026-126300
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المصاب والإصدارات المتأثرة
NLTK الإصدارات من 3.2.5 إلى 3.10.3
Description
توجد مشكلة في التعقيد الخوارزمي في الدالة
TreebankWordTokenizer.span tokenize. تحتوي الدالة على حلقة معالجة غير محمية أثناء خطوة استعادة علامات الاقتباس تقوم بتنفيذ عملية list.pop(0) لكل رمز اقتباس موجود في المدخلات. نظرًا لأن إزالة العنصر الأول من قائمة Python هي عملية بتعقيد O(n)، فإن إجمالي وقت المعالجة يزداد تربيعيًا بالنسبة لطول المدخلات. يمكن للمهاجم عن بُعد استغلال ذلك عن طريق إرسال سلاسل طويلة من علامات الاقتباس المزدوجة إلى الخدمات التي تقوم بتقسيم النصوص غير الموثوقة. قد يؤدي ذلك إلى استنفاد نواة وحدة المعالجة المركزية (CPU)، مما يؤدي إلى حجب الخدمة أو تدهور ملحوظ في زمن الاستجابة للنظام المتأثر.Recommendations
كإجراء مؤقت، قم بتقييد الحد الأقصى لطول نص المدخلات الممرر إلى الدالة
TreebankWordTokenizer.span tokenize عند حدود التطبيق للحد من وقت المعالجة في أسوأ الحالات.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾