JVNDB-2026-031363

NLTKにおける非効率的な正規表現の複雑さに関する脆弱性

NLTKのバージョン3.10.0未満には、Text.findall()およびTokenSearcher.findall()メソッドに正規表現のサービス拒否（ReDoS）脆弱性があります。これらのメソッドは、ユーザーが提供した正規表現を検証やタイムアウトなしで受け入れてしまいます。攻撃者は、壊滅的なバックトラッキングを引き起こす細工された正規表現パターンを提供でき、その結果、CPUが無限に高負荷状態となり、Pythonプロセスがすべてのユーザーに対してサービス拒否を引き起こします。

NLTK

• NLTK 3.10.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : ReDoS in nltk.text.Text.findall() via unvalidated user-supplied regular expressions  Advisory  nltk/nltk  GitHub

VulnCheck

• VulnCheck : NLTK before 3.10.0 ReDoS via Text.findall() unvalidated regex  | Advisories | VulnCheck

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-80205

1. National Vulnerability Database (NVD) : CVE-2026-80205
2. 関連文書 : oss-security - CVE-2026-80205 : ReDoS in NLTK Text.findall() (CVSS 8.7 High)

• [2026年09月02日]
    掲載