CVE-2026-78682

Nome do Software Vulnerável e Versões Afetadas NLTK versões anteriores a 3.10.3

Description Ocorre uma falsificação de solicitação do lado do servidor (SSRF) quando um proxy HTTP está configurado. A função nltk.pathsec.urlopen() (e suas chamadas nltk.data.load() e nltk.downloader.Downloader.index/download()) valida o nome do host solicitado localmente; no entanto, a herança do manipulador de proxy desativa os manipuladores HTTP/HTTPS seguros. Consequentemente, o proxy realiza a busca em um destino que não é revalidado. Isso permite que um invasor forneça uma URL pública validada que o proxy encaminha para um serviço interno apenas de loopback, permitindo a divulgação de recursos HTTP internos, o carregamento de índices de download forjados e a instalação de conteúdo de pacote escolhido pelo invasor.

Recommendations Atualize o NLTK para a versão 3.10.3 ou posterior.