CVE-2026-126298

Nome do Software Vulnerável e Versões Afetadas NLTK versões anteriores a 3.10.4

Description Existe um problema onde invasores remotos podem causar a negação de serviço ao esgotar os recursos da CPU. Isso ocorre quando a aplicação processa uma árvore de treebank larga e plana usando o parser Tree.fromstring e, subsequentemente, a normaliza usando a função Tree.chomsky normal form(). O processo de binarização de fator-direito padrão utiliza list.pop(0), o que resulta em uma complexidade de tempo quadrática O(N^2), pois desloca todos os elementos restantes na lista a cada iteração. Um invasor pode fornecer uma árvore especialmente elaborada (aproximadamente 1,5 MB) para forçar o consumo sustentado de CPU de thread única por dezenas de segundos, bloqueando a thread de processamento. Isso afeta a função nltk.tree.transforms.chomsky normal form e os endpoints Tree.chomsky normal form e Tree.fromstring.

Recommendations Atualize o NLTK para a versão 3.10.4 ou posterior. Como solução temporária, restrinja a contagem máxima de filhos de árvores aceitas para normalização ou execute a transformação em um worker isolado com um orçamento estrito de CPU ou tempo.