CVE-2026-12372

Nome do Software Vulnerável e Versões Afetadas nltk/nltk versão 3.9.4 nltk/nltk branch develop

Description Um problema de Server-Side Request Forgery (SSRF) existe onde a função nltk.pathsec.validate network url() falha ao rejeitar endereços IP no espaço de endereço compartilhado RFC 6598 (100.64.0.0/10). Isso ocorre porque o módulo ipaddress do Python não categoriza esses endereços como is private ou is global, e a lógica de validação verifica apenas is private e um conjunto limitado de categorias. Um invasor capaz de influenciar uma URL passada para os auxiliares de carregamento de rede pode forçar um aplicativo em modo estrito a enviar solicitações para hosts no espaço de endereço compartilhado, potencialmente expondo infraestrutura não pública. O impacto é limitado à exposição de confidencialidade.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.