CVE-2026-12372

nltk/nltk versiyaları 3.9.4 və cari develop budağında Server-Side Request Forgery (SSRF) zəifliyi mövcuddur. Daxili şəbəkə ünvanlarını rədd edərək SSRF-nin qarşısını almaq üçün nəzərdə tutulmuş `nltk.pathsec.validate_network_url()` funksiyası RFC 6598 paylaşılmış ünvan sahəsindəki (`100.64.0.0/10`) IP-ləri rədd etmir. Bu, Python-un `ipaddress` modulunun həmin ünvanları `is_private` və ya `is_global` kimi təsnif etməməsi və mövcud mühafizə mexanizminin yalnız `is_private` və bir neçə açıq kateqoriyanı yoxlaması səbəbindən baş verir. NLTK-nın şəbəkədən yükləmə köməkçilərinə ötürülən URL-ə təsir göstərə bilən hücumçu, bu zəiflikdən istifadə edərək ciddi rejimdə (strict-mode) işləyən tətbiqin paylaşılmış ünvan sahəsi hostlarına sorğular göndərməsini təmin edə bilər ki, bu da tətbiq hostundan əlçatan olan qeyri-ictimai infrastrukturun ifşa olunmasına səbəb ola bilər. Təsir yalnız SSRF tipli məxfiliyin ifşası ilə məhdudlaşır, hər hansı kodun icrası iddia edilmir.