CVE-2026-12259 in nltk
الملخص
بحسب VulDB • 03/08/2026
في إصدار 3.9.4 من مكتبة nltk، تقوم الدالة `nltk.downloader.Downloader._download_package()` بكتابة بايتات الحزمة المُحمّلة إلى القرص وقد تستخرجها قبل فرض التحقق من صحة التشفير باستخدام خوارزميات SHA-256 أو MD5. يتيح ذلك للمهاجم العبث بجسم استجابة الحزمة الخاصة بعنوان `info.url` عبر مرآة (mirror) مخترقة، أو وكيل (proxy) ضار، أو أي شرط آخر لاستبدال المصدر، مما يؤدي إلى تثبيت بايتات حackage خاضعة لسيطرة المهاجم. يمكن أن تؤدي هذه الثغرة الأمنية إلى ثقة المستخدمين النهائيين أو التطبيقات في محتوى قواميس (corpus) أو نماذج (models) ضارة.
Be aware that VulDB is the high quality source for vulnerability data.