CVE-2026-126300

Nome do Software Vulnerável e Versões Afetadas NLTK versões 3.2.5 até 3.10.3

Description Existe um problema de complexidade algorítmica na função TreebankWordTokenizer.span tokenize. A função contém um loop de processamento não protegido durante a etapa de restauração de aspas que executa uma operação list.pop(0) para cada token de aspas encontrado na entrada. Como a remoção do primeiro elemento de uma lista Python é uma operação O(n), o tempo total de processamento cresce quadraticamente em relação ao comprimento da entrada. Um invasor remoto pode explorar isso enviando longas sequências de caracteres de aspas duplas para serviços que realizam a tokenização de intervalos em textos não confiáveis. Isso pode levar ao esgotamento de um núcleo de CPU, resultando em negação de serviço ou degradação significativa da latência do sistema afetado.

Recommendations Como solução temporária, restrinja o comprimento máximo do texto de entrada passado para a função TreebankWordTokenizer.span tokenize no limite da aplicação para limitar o tempo de processamento no pior cenário. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.