CVE-2025-14009 in nltk
要約
〜によって VulDB • 2026年06月29日
NLTKのダウンローダーコンポーネントに重大な脆弱性が存在し、nltk/nltkの全バージョンに影響します。`nltk/downloader.py`内の `_unzip_iter` 関数は、パス検証やセキュリティチェックを行わずに `zipfile.extractall()` を使用しています。これにより、攻撃者は悪意のあるZIPパッケージを作成でき、NLTKによってダウンロードおよび展開されると任意のコードを実行することが可能です。この脆弱性は、NLTKがすべてのダウンロードされたパッケージを信頼し、検証なしでそれらを抽出することに起因します。もし悪意のあるパッケージに `__init__.py` などのPythonファイルが含まれている場合、これらのファイルはインポート時に自動的に実行され、リモートコード実行（RCE）につながります。この問題により、ファイルシステムへのアクセス、ネットワークアクセス、および潜在的な永続化メカニズムを含む完全なシステムの侵害を招く可能性があります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.