CVE-2026-81724
ŚrednieCVSS 5.3Streszczenie
NLTK przed wersją 3.10.3 zawiera podatność na niekontrolowaną rekurencję w nltk.featstruct.FeatStructReader, która pozwala nieuwierzytelnionym atakującym na spowodowanie odmowy usługi poprzez dostarczenie głęboko zagnieżdżonych danych wejściowych struktury cech. Atakujący mogą tworzyć trywialne ładunki z zagnieżdżonymi nawiasami, które przekraczają limit rekurencji Pythona i wywołują nieobsłużony błąd RecursionError, powodując awarię aplikacji przetwarzających struktury cech lub gramatyki cech dostarczane przez użytkownika.
Ocena ryzyka
Ryzyko obejmuje możliwość spowodowania awarii aplikacji przez nieuwierzytelnionego atakującego, co prowadzi do niedostępności usługi. Może to być wykorzystane do ataków DoS na systemy używające NLTK.
Rekomendacja
Zaleca się natychmiastowe zaktualizowanie NLTK do wersji 3.10.3 lub nowszej, która zawiera poprawkę. Należy również rozważyć ograniczenie dostępu do funkcji przetwarzających struktury cech.
Oryginalny opis (angielski, źródło NVD)
NLTK before 3.10.3 contains an uncontrolled recursion vulnerability in nltk.featstruct.FeatStructReader that allows unauthenticated attackers to cause a denial of service by supplying deeply nested feature-structure input. Attackers can craft trivial payloads with nested brackets that exceed Python's recursion limit and raise an unhandled RecursionError, crashing applications that parse user-supplied feature structures or feature grammars.