🇰🇷 한글 설명
NLTK 3.9.3 및 이전 버전의 `nltk.app.wordnet_app` 모듈에서 반사형 XSS 취약점이 발견되었습니다. `lookup_...` 경로에서 사용자 입력값이 적절한 이스케이프 처리 없이 HTML에 반영되어, 공격자가 악성 스크립트를 실행할 수 있습니다. 이는 로컬 WordNet 브라우저 서버를 실행 중인 사용자에게 영향을 미칩니다.
💡 쉬운 설명
NLTK라는 도구의 특정 기능을 사용할 때, 공격자가 만든 특수한 주소를 클릭하면 웹 브라우저에서 악성 코드가 실행될 수 있는 문제입니다. 사용자가 로컬에서 WordNet 브라우저 서버를 띄워놓았을 때 발생할 수 있습니다.
🇺🇸 원문 (English)
NLTK (Natural Language Toolkit) is a suite of open source Python modules, data sets, and tutorials supporting research and development in Natural Language Processing. In versions 3.9.3 and prior, `nltk.app.wordnet_app` contains a reflected cross-site scripting issue in the `lookup_...` route. A crafted `lookup_<payload>` URL can inject arbitrary HTML/JavaScript into the response page because attacker-controlled `word` data is reflected into HTML without escaping. This impacts users running the local WordNet Browser server and can lead to script execution in the browser origin of that application. Commit 1c3f799607eeb088cab2491dcf806ae83c29ad8f fixes the issue.
📍 영향받는 시스템
NLTK 3.9.3 및 그 이전 버전 (WordNet Browser 서버 실행 시)
⚔️ 공격 벡터
조작된 `lookup_<payload>` 형태의 URL을 통해 악성 HTML/JavaScript를 주입하는 방식
🛡️ 대응 방법
NLTK를 최신 버전으로 업데이트하거나, 수정 사항이 반영된 커밋(1c3f799607eeb088cab2491dcf806ae83c29ad8f)을 적용하십시오.
🔧 검증 코드
출력된 버전이 3.9.3 이하이면 해당 취약점에 노출된 상태입니다.
pip show nltk | grep Version
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
💻 영향받는 소프트웨어
IBM WebSphere Application Server