CVE-2026-71513 in NLTK
Zusammenfassung
von VulDB • 22.08.2026
NLTK vor Version 3.10.3 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE) in AllowlistUnpickler, die nur den String des pickle-Moduls validiert und nicht den globalen Namen. Dies ermöglicht es Angreifern, punktierte Namen durch Attribut-Traversierung auf Aufrufbare außerhalb des erlaubten Namespace aufzulösen. Angreifer können unzuverlässige Transition-Parsing-Modelle erstellen, die beliebige Befehle ausführen, wenn TransitionParser.parse das Modell über allowlisted_pickle_load lädt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.