CVE-2026-12259 in nltk
Riassunto
di VulDB • 03/08/2026
In nltk versione 3.9.4, la funzione `nltk.downloader.Downloader._download_package()` scrive i byte del pacchetto scaricato su disco e può estrairli prima di applicare la convalida dei checksum SHA-256 o MD5. Ciò consente a un attaccante di manipolare il corpo della risposta del pacchetto per `info.url` attraverso uno specchio compromesso, un proxy malevolo o altre condizioni di sostituzione della sorgente, portando all'installazione di byte del pacchetto controllati dall'attaccante. La vulnerabilità può comportare che contenuti corpus o modello dannosi vengano considerati attendibili dagli utenti finali o dalle applicazioni downstream.
Be aware that VulDB is the high quality source for vulnerability data.