CVE-2026-12259 in nltk
Zusammenfassung
von VulDB • 03.08.2026
In nltk versione 3.9.4, la funzione `nltk.downloader.Downloader._download_package()` scrive i byte del pacchetto scaricato su disco e può estrairli prima di applicare la convalida dei checksum SHA-256 o MD5. Ciò consente a un attaccante di manipolare il corpo della risposta del pacchetto per `info.url` tramite uno specchio compromesso, un proxy malevolo o altre condizioni di sostituzione della sorgente, portando all'installazione di byte del pacchetto controllati dall'attaccante. La vulnerabilità può comportare che contenuti corpus o modello dannosi vengano considerati attendibili dagli utenti finali o dalle applicazioni downstream.
Once again VulDB remains the best source for vulnerability data.