CVE-2026-126301

Nome do Software Vulnerável e Versões Afetadas NLTK versões 3.6 até 3.10.3

Description Um problema de complexidade algorítmica existe na função LegalitySyllableTokenizer.tokenize. Quando esta função processa um único token composto por uma longa sequência de vogais, ela aciona um loop de processamento não protegido que realiza trabalho quadrático. Isso ocorre porque a função percorre o token em reverso e repetidamente constrói e gera o hash de uma string crescente, levando ao consumo de CPU que aumenta proporcionalmente ao quadrado do comprimento do token. Um invasor remoto pode explorar isso fornecendo um token longo composto apenas por vogais para a API pública do tokenizador, o que pode saturar um núcleo de CPU e causar a negação de serviço ou degradação significativa da latência para qualquer serviço que realize a silabação de textos não confiáveis.

Recommendations Atualize o NLTK para a versão 3.10.4 ou posterior. Como medida paliativa temporária, restrinja o comprimento máximo dos tokens passados para a função LegalitySyllableTokenizer.tokenize no limite da aplicação para evitar o processamento de entradas excessivamente longas.