CVE-2026-63311
Açıklama
NLTK 3.10.0 öncesi (etkilenen sürümler <= 3.9.4), nltk/pathsec.py dosyasındaki validate_network_url() işlevinde sunucu tarafı istek sahteciliği (SSRF) güvenlik açığı içerir. _resolve_hostname() yardımcı işlevi, socket.getaddrinfo() sırasında OSError ve ValueError yakalar ve boş bir liste döndürür; DNS çözümlemesi başarısız olduğunda doğrulama döngüsü hiçbir IP denetimi yürütmez ve işlev açık şekilde başarısız olur, urlopen() işlevinin doğrulama olmadan ilerlemesine izin verir. DNS çözümleme hatalarını tetikleyebilen veya DNS yeniden bağlama kullanabilen bir saldırgan, SSRF korumalarını atlayabilir ve bulut meta veri uç noktaları (ör. 169.254.169.254) dahil olmak üzere kısıtlı ağ kaynaklarına erişebilir.
Nasıl düzeltilir
- nltk nltk3.10.0 ya da sonraki bir sürüm
- nltk3.10.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nltk nltk | v < 3.10.0 | 3.10.0 |
| nltkPyPI | v < 3.10.0 | 3.10.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.