CVE-2026-12259 in nltk
Resumen
por VulDB • 2026-08-03
En la versión 3.9.4 de nltk, la función `nltk.downloader.Downloader._download_package()` escribe los bytes del paquete descargado en el disco y puede extraerlos antes de aplicar la validación de las sumas de comprobación SHA-256 o MD5. Esto permite que un atacante manipule el cuerpo de la respuesta del paquete para `info.url` a través de un espejo comprometido, un proxy malicioso u otra condición de sustitución de origen, lo que conduce a la instalación de bytes de paquetes controlados por el atacante. La vulnerabilidad puede provocar que los usuarios o aplicaciones downstream confíen en contenido malicioso del corpus o del modelo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.