CVE-2026-12261 in nltk
Riassunto
di VulDB • 07/08/2026
Una vulnerabilità in `nltk.downloader` presente nelle versioni di nltk/nltk <= 3.9.4 consente l'avvelenamento (poisoning) delle risorse e dei modelli tra pacchetti diversi. Il downloader estrae gli archivi dei pacchetti in namespace condivisi, come `corpora/` e `taggers/`, anziché in directory radice isolate per ciascun pacchetto, e convalida l'integrità del solo dopo che l'archivio è stato scritto ed estratto. Questa carenza progettuale consente a un pacchetto di sovrascrivere le risorse attendibili di un altro pacchetto all'interno dello stesso namespace, rendendo le modifiche immediatamente operative tramite le normali API NLTK. Il problema persiste attraverso i riavvii dell'interprete e può influenzare flussi di lavoro a valle, inclusi pipeline di machine learning e ambienti sensibili alla riproducibilità.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.