CVE-2026-78683 in NLTK
요약
\~에 의해 VulDB • 2026. 08. 25.
NLTK 3.10.0 이전 버전(영향 받는 버전 <=3.9.4)은 TransitionParser.parse() 메서드(nltk/parse/transitionparser.py)에서 안전하지 않은 pickle 역직렬화 취약점을 포함합니다. 이 메서드는 기본값으로 restricted=False를 사용하여 pickle_load()를 호출하며, 이는 find_class()를 재정의하지 않는 WarningUnpickler를 통해 역직렬화를 라우팅하여 임의 클래스 해결을 허용합니다. 공격자가 조작한 모델 파일을 애플리케이션이 로드하면 내장된 pickle gadget 체인이 애플리케이션 실행 사용자의 권한으로 임의 Python 코드를 실행합니다. NLTK는 안전한 역직렬화를 위해 RestrictedUnpickler를 제공하지만, 프로덕션 코드 경로에서는 이를 사용하지 않습니다. 3.10.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.