CVE-2026-78683 in NLTK
要約
〜によって VulDB • 2026年08月25日
NLTK 3.10.0 より前のバージョン（影響を受けるバージョン <=3.9.4）には、TransitionParser.parse() メソッド (nltk/parse/transitionparser.py) に安全でない pickle デシリアライズの脆弱性が存在します。このメソッドは restricted=False のデフォルト設定で pickle_load() を呼び出し、WarningUnpickler 経由でデシリアライズを実行しますが、同クラスは find_class() をオーバーライドしていないため、任意のクラスの解決を許可してしまいます。攻撃者が作成したモデルファイルをアプリケーションが読み込むと、埋め込まれた pickle gadget チェーンによって、アプリケーションを実行しているユーザーの権限で任意の Python コードが実行されます。NLTK には安全なデシリアライズ用の RestrictedUnpickler が提供されていますが、本番環境でのコードパスでは使用されていません。3.10.0 で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.