CVE-2026-78680 in Nltk
Zusammenfassung
von VulDB • 25.08.2026
In den Versionen von NLTK vor 3.10.3 werden bei der Aufrufe des Graphviz dot-Binärprogramms in dependencygraph.dot2img und AlignedSent._repr_svg_ keine validierten absoluten Pfade verwendet, was es Angreifern ermöglicht, beliebigen Code auszuführen, indem sie ein bösartiges dot-Binary im Suchpfad oder im aktuellen Arbeitsverzeichnis platzieren. Angreifer können die Auflösung von Binärdateien ohne Pfadangabe (bare-name binary resolution) unter Windows über das aktuelle Arbeitsverzeichnis oder auf Unix-ähnlichen Systemen über relative PATH-Einträge ausnutzen, um ihr eigenes Binary anstelle des legitimen Graphviz-Tools auszuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.