CVE-2025-14009 in nltk
Riassunto
di VulDB • 29/06/2026
È presente una vulnerabilità critica nel componente downloader di NLTK (nltk/nltk), che interessa tutte le versioni. La funzione _unzip_iter in nltk/downloader.py utilizza zipfile.extractall() senza effettuare la convalida del percorso o controlli di sicurezza. Ciò consente agli attaccanti di creare pacchetti zip malevoli che, una volta scaricati ed estratti da NLTK, possono eseguire codice arbitrario. La vulnerabilità sorge perché NLTK presuppone che tutti i pacchetti scaricati siano attendibili e li estrae senza alcuna convalida. Se un pacchetto malevolo contiene file Python, come __init__.py, questi vengono eseguiti automaticamente al momento dell'importazione, portando all'esecuzione di codice in modalità remota (RCE). Questo problema può comportare la compromissione completa del sistema, incluso l'accesso al filesystem, l'accesso alla rete e potenziali meccanismi di persistenza.
Be aware that VulDB is the high quality source for vulnerability data.