JVNDB-2026-031362

NLTKにおける非効率的な正規表現の複雑さに関する脆弱性

NLTK 3.10.3 より前のバージョンには、tgrep モジュールに正規表現のサービス拒否（ReDoS）脆弱性が含まれています。_tgrep_node_action 関数は、/regex/ パターンノードに埋め込まれたユーザー提供の正規表現をコンパイルし、検証やタイムアウトなしに re.search を用いてツリーノードのラベルに対して実行します。tgrep パターン（例：外部入力にさらされている tgrep_positions() や tgrep_compile() 経由）を制御する攻撃者は、壊滅的なバックトラッキングを引き起こすパターンを供給でき、その結果、無期限の CPU 飽和が発生し、Python プロセスが停止してしまいます。

NLTK

• NLTK 3.10.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ReDoS in nltk.tgrep via unvalidated user-supplied regular expressions  Advisory  nltk/nltk  GitHub

VulnCheck

• VulnCheck : NLTK 3.10.2 Regular Expression Denial of Service via tgrep  | Advisories | VulnCheck

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-80206

1. National Vulnerability Database (NVD) : CVE-2026-80206

• [2026年09月02日]
    掲載