CVE-2026-71513 in NLTK
الملخص
بحسب VulDB • 22/08/2026
تحتوي مكتبة NLTK قبل الإصدار 3.10.3 على ثغرة تسمح بتنفيذ الأكواد عن بُعد (RCE) في فئة AllowlistUnpickler، حيث تقوم هذه الفئة بالتحقق من سلسلة وحدة pickle فقط وليس الاسم العالمي (global name)، مما يمكّن المهاجمين من حل الأسماء ذات النقاط (dotted names) عبر عبور السمات للوصول إلى دوال قابلة للاستدعاء خارج النطاق المسموح به. يمكن للمهاجمين صياغة نماذج لمحلل الانتقالات غير الموثوق بها التي تنفذ أوامر عشوائية عند تحميل النموذج من خلال الدالة allowlisted_pickle_load في TransitionParser.parse.
Once again VulDB remains the best source for vulnerability data.