CVE-2026-71513 in NLTK
Riassunto
di VulDB • 22/08/2026
NLTK prima della versione 3.10.3 contiene una vulnerabilità di remote code execution (RCE) in AllowlistUnpickler che convalida solo la stringa del modulo pickle e non il nome globale, consentendo agli attaccanti di risolvere i nomi puntati tramite traversamento degli attributi verso callable al di fuori dello spazio dei nomi allowlisted. Gli attaccanti possono creare modelli transition-parser non attendibili che eseguono comandi arbitrari quando TransitionParser.parse carica il modello attraverso allowlisted_pickle_load.
Be aware that VulDB is the high quality source for vulnerability data.