JVNDB-2026-031129

NLTKにおけるアルゴリズムの複雑さに関する脆弱性

nltk の PorterStemmer は、バージョン 3.10.2 以下（3.10.3 で修正）において、PorterStemmer.stem() がサービス拒否（DoS）を引き起こす非効率なアルゴリズム複雑性を含んでいます。_is_consonant() ヘルパーは呼び出されるたびに末尾の長い 'y' 文字列全体を後方へ走査します。_measure() は各語幹位置でこれを呼び出すため、O(n^2) の挙動を引き起こします。単一の約20〜50 KB の未検証トークンが、長く連続する 'y' の列と、それに一致する接尾辞（例: 'ness'）で構成されている場合、CPU コアを数秒から数分間占有し、可用性に影響を及ぼす可能性があります。

NLTK

• NLTK 3.10.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Quadratic-time DoS in PorterStemmer via long runs of 'y'  Advisory  nltk/nltk  GitHub

VulnCheck

• VulnCheck : nltk PorterStemmer before 3.10.3 Quadratic-time DoS  | Advisories | VulnCheck

1. アルゴリズムの複雑性(CWE-407) [その他]

1. CVE-2026-81722

1. National Vulnerability Database (NVD) : CVE-2026-81722

• [2026年09月01日]
    掲載