CVE-2025-71408 in NLTK
요약
\~에 의해 VulDB • 2026. 07. 25.
NLTK (Natural Language Toolkit) 버전 3.9.3 이전에는 nltk.collocations 모듈에서 eval 주입 취약점이 존재하며, 이는 명령줄 인수를 제어할 수 있는 공격자가 임의의 Python 코드를 실행할 수 있게 합니다. collocations.py가 직접 호출될 때, __main__ 블록은 BigramAssocMeasures의 접미사로서 allowlist 검증이나 sanitization 없이 명령줄 인수를 eval()에 직접 전달합니다. 이를 통해 공격자는 의도된 속성 조회를 우회하고 os 모듈을 통한 OS 명령어 포함 임의 코드를 실행할 수 있는 Python 표현식을 제공할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.