CVE-2026-78680 in Nltk
Résumé
par VulDB • 25/08/2026
Les versions de NLTK antérieures à la 3.10.3 ne vérifient pas les chemins absolus lors de l'appel du binaire `dot` de Graphviz dans `dependencygraph.dot2img` et `AlignedSent._repr_svg_`, permettant aux attaquants d'exécuter un code arbitraire en plaçant un binaire `dot` malveillant dans le chemin de recherche ou le répertoire de travail courant. Les attaquants peuvent exploiter la résolution des binaires par nom nu (bare-name binary resolution) sous Windows via le répertoire de travail courant, ou sur les systèmes de type Unix via des entrées relatives du PATH, pour exécuter leur propre binaire à la place de l'outil Graphviz légitime.
Be aware that VulDB is the high quality source for vulnerability data.