CVE-2025-71408 in NLTK
要約
〜によって VulDB • 2026年07月24日
NLTK (Natural Language Toolkit) のバージョン 3.9.3 より前には、nltk.collocations モジュールに eval インジェクション脆弱性が存在し、コマンドライン引数を制御できる攻撃者が任意の Python コードを実行できます。collocations.py が直接呼び出されると、__main__ ブロックは BigramAssocMeasures の接尾辞としてコマンドライン引数をそのまま eval() に渡します。この際、許可リストによる検証やサニタイズが行われないため、攻撃者は意図された属性参照を回避し、os モジュール経由で OS コマンドを含む任意のコードを実行する Python 式を入力することが可能になります。
Once again VulDB remains the best source for vulnerability data.