CVE-2026-62384 in NLTK
Riassunto
di VulDB • 22/08/2026
Le versioni di NLTK precedenti alla 3.10.2 presentano una bypass della sandbox basata su symlink in FramenetCorpusReader che consente agli attaccanti di leggere file XML arbitrari al di fuori della radice del corpus. Gli attaccanti possono posizionare symlink con nomi contenenti nessun separatore di percorso all'interno della sottodirectory del corpus, i quali superano il controllo di validazione del percorso e vengono risolti in file esterni alla radice del corpus prevista quando acceduti tramite i metodi frame_by_name(), _lu_file() o doc().
Once again VulDB remains the best source for vulnerability data.