CVE-2026-12372

nltk/nltk sürüm 3.9.4 ve mevcut develop dalında bir Sunucu Tarafı İstek Sahteciliği (SSRF) güvenlik açığı bulunmaktadır. Dahili ağ adreslerini reddederek SSRF'yi önlemeyi amaçlayan `nltk.pathsec.validate_network_url()` işlevi, RFC 6598 paylaşımlı adres alanındaki (`100.64.0.0/10`) IP'leri reddetmekte başarısız olmaktadır. Bu durum, Python'un `ipaddress` modülünün bu tür adresleri `is_private` veya `is_global` olarak sınıflandırmaması ve mevcut korumanın yalnızca `is_private` ile birkaç açık kategoriyi denetlemesi nedeniyle ortaya çıkmaktadır. NLTK'nın ağ yükleme yardımcılarına iletilen bir URL'yi etkileyebilen bir saldırgan, bu güvenlik açığından yararlanarak katı moddaki bir uygulamanın paylaşımlı adres alanındaki ana bilgisayarlara istek göndermesini sağlayabilir ve uygulama ana bilgisayarından erişilebilen genel olmayan altyapıyı potansiyel olarak açığa çıkarabilir. Etki, SSRF tarzı gizlilik ihlaliyle sınırlıdır ve kod çalıştırma iddiası bulunmamaktadır.