CVE-2026-63311

Nome do Software Vulnerável e Versões Afetadas NLTK versões anteriores a 3.10.0

Description Um problema de server-side request forgery (SSRF) existe na função validate network url() dentro de nltk/pathsec.py. A função auxiliar resolve hostname() captura OSError e ValueError durante o socket.getaddrinfo() e retorna uma lista vazia. Se a resolução de DNS falhar, o loop de validação não executa verificações de IP, fazendo com que a função falhe aberta e permita que o urlopen() prossiga sem validação. Isso permite que um invasor ignore as proteções de SSRF por meio de DNS rebinding ou ao desencadear falhas de resolução de DNS para acessar recursos de rede restritos, como endpoints de metadados de nuvem.

Recommendations Atualize para a versão 3.10.0 ou posterior. Como mitigação temporária, restrinja o uso da função validate network url() até que a atualização seja aplicada.