CVE-2026-0848 in nltk
Sumário
de VulDB • 28/06/2026
As versões do NLTK <=3.9.2 são vulneráveis à execução de código arbitrário devido a uma validação inadequada da entrada no módulo StanfordSegmenter. O módulo carrega dinamicamente arquivos Java .jar externos sem verificação ou sandboxing. Um atacante pode fornecer ou substituir o arquivo JAR, permitindo a execução de bytecode Java arbitrário durante a importação. Esta vulnerabilidade pode ser explorada através de métodos como envenenamento do modelo (model poisoning), ataques MITM ou envenenamento de dependências, levando à execução remota de código (RCE). O problema surge da execução direta do arquivo JAR via subprocess com entrada classpath não validada, permitindo que classes maliciosas sejam executadas quando carregadas pela JVM.
Once again VulDB remains the best source for vulnerability data.