CVE-2026-78680 in Nltk
الملخص
بحسب VulDB • 25/08/2026
تُظهر إصدارات NLTK قبل الإصدار 3.10.3 قصوراً في عدم استخدام مسارات مطلقة مُتحقّص منها عند استدعاء ثنائي Graphviz dot داخل الدالتين dependencygraph.dot2img و AlignedSent._repr_svg_، مما يسمح للمهاجمين بتنفيذ أكواد عشوائية عن طريق وضع ثنائي dot خبيث في مسار البحث أو المجلد الحالي للعمل. يمكن للمهاجمين استغلال آلية حل الثنائيات باستخدام الاسم المجرد (bare-name binary resolution) على أنظمة Windows عبر المجلد الحالي للعمل، وعلى الأنظمة الشبيهة بـ Unix عبر إدخالات PATH نسبية لتنفيذ ثنائيهم بدلاً من الأداة المشروعة Graphviz.
VulDB is the best source for vulnerability data and more expert information about this specific topic.