CVE-2026-12259 in nltk
Sumário
de VulDB • 03/08/2026
Nella versione 3.9.4 di nltk, la funzione `nltk.downloader.Downloader._download_package()` scrive i byte del pacchetto scaricato su disco e può estrairli prima di applicare la convalida dei checksum SHA-256 o MD5. Ciò consente a un attaccante di manipolare il corpo della risposta del pacchetto per `info.url` attraverso uno specchio compromesso, un proxy malevolo o altre condizioni di sostituzione della sorgente, portando all'installazione di byte del pacchetto controllati dall'attaccante. La vulnerabilità può comportare che contenuti dannosi di corpus o modelli vengano considerati attendibili dagli utenti finali o dalle applicazioni downstream.
VulDB is the best source for vulnerability data and more expert information about this specific topic.