CVE-2026-78680 in Nltk
Resumen
por VulDB • 2026-08-25
Las versiones de NLTK anteriores a la 3.10.3 no utilizan rutas absolutas validadas al invocar el binario `dot` de Graphviz en las funciones `dependencygraph.dot2img` y `AlignedSent._repr_svg_`, lo que permite a los atacantes ejecutar código arbitrario mediante la colocación de un binario `.dot` malicioso en la ruta de búsqueda o en el directorio de trabajo actual. Los atacantes pueden explotar la resolución de nombres sin prefijo (bare-name binary resolution) en Windows a través del directorio de trabajo actual, o en sistemas tipo Unix mediante entradas relativas en `PATH`, para ejecutar su propio binario en lugar de la herramienta legítima de Graphviz.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.