NLTK до версии 3.10.3 содержит уязвимость отказа в обслуживании в регулярном выражении в Pl196xCorpusReader, которая позволяет злоумышленникам вызывать квадратичное потребление ресурсов ЦП, предоставляя неверные блоки TEI со множеством несовпадающих открывающих тегов. Злоумышленники могут использовать шаблоны ленивых регулярных выражений в методе read_block через общедоступные API, такие какwords() и tagged_words(), для принудительного повторного сканирования и достижения почти квадратичного роста времени выполнения.
Показать оригинальное описание (EN)
NLTK before 3.10.3 contains a regular expression denial of service vulnerability in Pl196xCorpusReader that allows attackers to cause quadratic CPU consumption by supplying malformed TEI blocks with many unmatched opening tags. Attackers can exploit lazy regex patterns in the read_block method through public APIs like words() and tagged_words() to force repeated rescans and achieve near-quadratic runtime growth.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Nltk Nltk
cpe:2.3:a:nltk:nltk:*:*:*:*:*:*:*:*
|
— |
3.10.3
|