Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - nltk/tokenize/casual.py 中的 URL 正则表达式（编译成 TweetTokenizer.WORD_RE 并由 TweetTokenizer.tokenize 应用）包含一个裸域分支，其域标签前缀 [a-z0-9]+（？：[.\-][a-z0-9]+）* 未限制边界。由许多交替标签分隔符组成的输入可以以多种方式进行指数分区，并且由于分支还需要此类输入从不提供的尾部顶级域，因此引擎会在每次偏移发生故障之前探索这些分区。因此，几 KB 的输入会消耗几秒钟到几分钟的单线程 CPU，并且在匹配之前执行的HANG_RE替换不会破坏模式。TweetTokenizer 旨在对不受信任的社交媒体文本进行标记化，因此将其或模块级casual_tokenize应用于已提交文本的任何服务可在未经身份验证的情况下按请求停止。版本限制 3.10.1 标签重复。（CVE-2026-72818）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - nltk/tokenize/casual.py 中的 URLS 規則運算式，編譯成 TweetTokenizer.WORD_RE 並由 TweetTokenizer.tokenize 套用，包含一個裸網域分支，其網域標籤前置詞 [a-z0-9]+（？：[.\-][a-z0-9]+）* 不受限制。由許多交替標籤分隔符號組成的輸入可以以指數方式分割，而且由於分支也需要此類輸入永遠不會提供的尾端頂層網域，因此引擎會在每個位移失敗之前探索這些分割區。因此，幾KB的輸入會耗用數秒到幾分鐘的單執行緒CPU，而且在比對之前執行的HANG_RE替換不會摺疊模式。TweetTokenizer 旨在對不受信任的社交媒體文本進行標記化，因此任何將其或模塊級casual_tokenize應用於提交文本的服務都可以在未經身份驗證的情況下根據請求停止。版本會 3.10.1 限制標籤重複。（CVE-2026-72818）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - TweetTokenizer.WORD_REにコンパイルされ、TweetTokenizer.tokenizeによって適用されたnltk/tokenize/casual.py のURLS正規表現は、ドメインラベルプレフィックス[a-z0-9]+(?:[.\-][a-z0-9]+)*がバインドされていない裸のドメインブランチを含んでいます。多くの交互のラベル セパレーターで構成される入力は、指数関数的に多くの方法でパーティション分割でき、ブランチにはそのような入力では決して提供されない末尾のトップレベル ドメインも必要であるため、エンジンは各オフセットで失敗する前にそれらのパーティションを探索します。したがって、数キロバイトの入力が数秒から数分のシングルスレッドCPUを消費し、マッチング前に実行されるHANG_RE置換はパターンを崩壊しません。TweetTokenizerは、信頼できないソーシャルメディアのテキストをトークン化するためのものです。そのため、TweetTokenizerを、送信されたテキストに適用するサービス、またはモジュールレベルのcasual_tokenizeが、認証なしでリクエストごとに停止する可能性があります。バージョン 3.10.1 がラベルの繰り返しを制限します。(CVE-2026-72818)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The URLS regular expression in nltk/tokenize/casual.py, compiled into TweetTokenizer.WORD_RE and applied     by TweetTokenizer.tokenize, contains a naked-domain branch whose domain-label prefix     [a-z0-9]+(?:[.\-][a-z0-9]+)* is unbounded. Input consisting of many alternating label separators can be     partitioned in exponentially many ways, and because the branch also requires a trailing top-level domain     that such input never supplies, the engine explores those partitions before failing at each offset. A few     kilobytes of input therefore consumes seconds to minutes of single-threaded CPU, and the HANG_RE     substitution performed before matching does not collapse the pattern. TweetTokenizer is intended for     tokenizing untrusted social-media text, so any service that applies it, or the module-level     casual_tokenize, to submitted text can be stalled per request without authentication. Version 3.10.1     bounds the label repetition. (CVE-2026-72818)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
338801	Linux Distros 未修补的漏洞：CVE-2026-72818	Nessus	Misc.	2026/8/22	2026/9/3	high
338801	Linux Distros 未修補弱點：CVE-2026-72818	Nessus	Misc.	2026/8/22	2026/9/3	high
338801	Linux Distros のパッチ未適用の脆弱性: CVE-2026-72818	Nessus	Misc.	2026/8/22	2026/9/3	high
338801	Linux Distros Unpatched Vulnerability : CVE-2026-72818	Nessus	Misc.	2026/8/22	2026/9/3	high

检测

插件搜索

high

high

high

high