PT-2026-146632
CVE-2026-126301
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
NLTK الإصدارات من 3.6 إلى 3.10.3
Description
توجد مشكلة في التعقيد الخوارزمي في الدالة
LegalitySyllableTokenizer.tokenize. عندما تقوم هذه الدالة بمعالجة رمز واحد يتكون من سلسلة طويلة من حروف العلة، فإنها تؤدي إلى تشغيل حلقة معالجة غير محمية تقوم بعمل تربيعي. يحدث هذا لأن الدالة تمر عبر الرمز بشكل عكسي وتقوم بشكل متكرر ببناء وتجزئة سلسلة نصية متزايدة، مما يؤدي إلى استهلاك وحدة المعالجة المركزية بشكل يتناسب مع مربع طول الرمز. يمكن للمهاجم عن بُعد استغلال ذلك عن طريق تقديم رمز طويل يتكون من حروف علة فقط إلى واجهة برمجة تطبيقات التجزئة العامة، مما قد يؤدي إلى إشباع نواة وحدة المعالجة المركزية وتسبب في حجب الخدمة أو تدهور ملحوظ في زمن الاستجابة لأي خدمة تقوم بتقسيم النصوص غير الموثوقة إلى مقاطع لفظية.Recommendations
تحديث NLTK إلى الإصدار 3.10.4 أو أحدث.
كإجراء مؤقت، قم بتقييد الحد الأقصى لطول الرموز المرسلة إلى الدالة
LegalitySyllableTokenizer.tokenize عند حدود التطبيق لمنع معالجة المدخلات الطويلة بشكل مفرط.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾