JVNDB-2026-032273

NLTKにおけるサーバサイドのリクエストフォージェリの脆弱性

nltk/nltk バージョン 3.9.4 および現在の develop ブランチには、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。SSRF を防ぐために内部ネットワークアドレスを拒否することを意図した `nltk.pathsec.validate_network_url()` 関数は、RFC 6598 の共有アドレス空間 (`100.64.0.0/10`) に属する IP を拒否できません。これは、Python の `ipaddress` モジュールがこれらのアドレスを `is_private` でも `is_global` でもないと分類し、現在のガードが `is_private` といくつかの明示的なカテゴリのみをチェックしているために発生しています。NLTK のネットワークロードヘルパーに渡される URL を操作できる攻撃者は、この脆弱性を悪用して、厳格モードのアプリケーションに共有アドレス空間のホストに対してリクエストを送信させることができ、アプリケーションホストから到達可能な非公開インフラを公開してしまう可能性があります。影響は SSRF 型の機密情報露出に限定されており、コード実行は報告されていません。

NLTK

• NLTK 3.9.4

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

参考情報を参照して適切な対策を実施してください。

1. サーバサイドのリクエストフォージェリ(CWE-918) [その他]

1. CVE-2026-12372

1. National Vulnerability Database (NVD) : CVE-2026-12372

• [2026年09月07日]
    掲載