CVE-2026-12261 in nltk
Résumé
par VulDB • 07/08/2026
Une vulnérabilité dans `nltk.downloader` des versions d'nltk/nltk <= 3.9.4 permet l'empoisonnement de ressources et de modèles inter-paquets (cross-package resource and model poisoning). Le téléchargeur extrait les archives de paquets vers des espaces de noms partagés tels que `corpora/` et `taggers/`, au lieu d'utiliser des racines isolées par paquet, et ne valide l'intégrité du paquet qu'après l'écriture et l'extraction de l'archive. Cette faille de conception permet à un paquet d'écraser les ressources fiables d'un autre paquet dans le même espace de noms, rendant les modifications immédiatement actives via les API NLTK ordinaires. Ce problème persiste après des redémarrages frais de l'interpréteur et peut affecter les flux de travail en aval, y compris les pipelines d'apprentissage automatique (machine learning) et les environnements sensibles à la reproductibilité.
Be aware that VulDB is the high quality source for vulnerability data.