CVE-2026-80205

7.5 Élevée

Publiée le 26/08/2026 à 13:16 · Modifiée le 03/09/2026 à 07:15 · Modifiée · Source : disclosure@vulncheck.com

Description

NLTK versions before 3.10.0 contain a regular expression denial of service vulnerability in Text.findall() and TokenSearcher.findall() methods that accept user-supplied regular expressions without validation or timeout. Attackers can supply crafted regex patterns that cause catastrophic backtracking, resulting in indefinite CPU saturation and denial of service to all users of the Python process.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.7 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	7.5 Élevée	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H`

Faiblesses (CWE)

CWE-1333

Références

https://github.com/nltk/nltk/security/advisories/GHSA-rrv8-h7p8-rx55 ExploitVendor Advisory
https://www.vulncheck.com/advisories/nltk-before-3.10.0-redos-via-text-findall-unvalidated-regex Third Party Advisory
http://www.openwall.com/lists/oss-security/2026/09/01/3

CVE-2026-80205

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs