JVNDB-2026-031353

NLTKにおけるリソースの枯渇に関する脆弱性

NLTK 3.10.3以前のバージョンには、Pl196xCorpusReaderに正規表現のサービス拒否（ReDoS）脆弱性が含まれており、多数の未対応の開きタグを含む不正なTEIブロックを供給することで、攻撃者がCPU消費量を二次関数的に増加させることが可能です。攻撃者は、words()やtagged_words()のような公開APIを通じてread_blockメソッド内の遅延正規表現パターンを悪用し、繰り返しの再スキャンを強制して、ほぼ二次関数的に実行時間を増加させることができます。

NLTK

• NLTK 3.10.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Pl196xCorpusReader has quadratic ReDoS on malformed TEI blocks  Advisory  nltk/nltk  GitHub

VulnCheck

• VulnCheck : NLTK before 3.10.3 Regular Expression Denial of Service via Pl196xCorpusReader  | Advisories | VulnCheck

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-81725

1. National Vulnerability Database (NVD) : CVE-2026-81725

• [2026年09月02日]
    掲載