CVE-2026-126299

Nome do Software Vulnerável e Versões Afetadas NLTK versões anteriores a 3.10.4

Description Um problema de negação de serviço existe no analisador de léxico CCG. Atacantes remotos podem causar exaustão de CPU fornecendo entradas extensas, como texto de léxico com corpos de colchetes planos longos ou cadeias de operadores. Isso desencadeia o fatiamento quadrático de strings nas funções matchBrackets() e augParseCategory(), o que bloqueia as threads de trabalho e leva à perda de disponibilidade. O problema é acessível através do endpoint nltk.ccg.lexicon.fromstring (também reexportado como nltk.ccg.chart.fromstring). A proteção de profundidade de recursão existente não previne isso porque as entradas maliciosas são planas, significando que sua profundidade de aninhamento permanece em zero.

Recommendations Atualize para a versão 3.10.4 ou posterior. Como mitigação temporária, restrinja o tamanho da entrada de léxico aceita e processe-a sob um orçamento de CPU ou tempo em um worker isolado.