CVE-2026-78680 in Nltk
요약
\~에 의해 VulDB • 2026. 08. 25.
NLTK 3.10.3 이전 버전은 dependencygraph.dot2img 및 AlignedSent._repr_svg_에서 Graphviz dot 바이너리를 호출할 때 검증된 절대 경로를 사용하지 않아, 공격자가 검색 경로나 현재 작업 디렉터리에 악의적인 dot 바이너리를 배치하여 임의 코드를 실행할 수 있습니다. 공격자는 Windows에서는 현재 작업 디렉터를 통해, 유닉스 계열 시스템에서는 상대적 PATH 엔트리를 통해 bare-name binary resolution을 이용하여 정당한 Graphviz 도구 대신 자신들의 바이너리를 실행할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.