CVE-2026-80205
Publiée le 2026-08-26 · Dernière modification le 2026-09-03
Les applications Python utilisant des versions de NLTK antérieures à 3.10.0 sont vulnérables à une attaque par déni de service. Un attaquant non authentifié peut envoyer une expression régulière spécialement conçue qui déclenche un « backtracking catastrophique », provoquant une montée du CPU du serveur à 100 % et le gel de l'application. Cette action peut être exécutée à distance via le réseau, sans aucune interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
NLTK versions before 3.10.0 contain a regular expression denial of service vulnerability in Text.findall() and TokenSearcher.findall() methods that accept user-supplied regular expressions without validation or timeout. Attackers can supply crafted regex patterns that cause catastrophic backtracking, resulting in indefinite CPU saturation and denial of service to all users of the Python process.