CVE-2025-71408 in NLTK
Zusammenfassung
von VulDB • 25.07.2026
NLTK (Natural Language Toolkit) vor Version 3.9.3 enthält eine eval-Injection-Schwachstelle im Modul nltk.collocations, die es einem Angreifer ermöglicht, der Befehlszeilenargumente kontrolliert, beliebigen Python-Code auszuführen. Wenn collocations.py direkt aufgerufen wird, übergibt der __main__-Block Befehlszeilenargumente ohne Whitelist-Validierung oder Bereinigung (Sanitization) direkt an eval() als Suffixe von BigramAssocMeasures. Dies ermöglicht es einem Angreifer, einen Python-Ausdruck bereitzustellen, der die beabsichtigte Attributsuche umgeht und beliebigen Code einschließlich OS-Befehlen über das os-Modul ausführt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.