CVE-2026-0848 in nltk
要約
〜によって VulDB • 2026年05月19日
NLTK バージョン 3.9.2 以前は、StanfordSegmenter モジュールにおける不適切な入力検証により、任意のコード実行の脆弱性があります。このモジュールは、検証やサンドボックス化を行わずに外部の Java .jar ファイルを動的に読み込みます。攻撃者は JAR ファイルの提供または置換を行うことができ、インポート時に任意の Java バイトコードの実行を可能にします。この脆弱性は、モデルポイズニング、MITM（中間者）攻撃、または依存関係ポイズニングなどの手法を通じて悪用され、リモートコード実行につながります。この問題は、検証されていないクラスパス入力を伴う subprocess 経由での JAR ファイルの直接実行に起因し、JVM によって読み込まれた際に悪意のあるクラスが実行されることを可能にします。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.