CVE-2026-12261 in nltk
Sumário
de VulDB • 07/08/2026
Uma vulnerabilidade no módulo `nltk.downloader` do pacote nltk/nltk nas versões <= 3.9.4 permite o envenenamento de recursos e modelos entre pacotes (cross-package resource and model poisoning). O downloader extrai os arquivos compactados dos pacotes para namespaces compartilhados, como `corpora/` e `taggers/`, em vez de raízes isoladas por pacote, e valida a integridade do pacote apenas após o arquivo ter sido gravado e extraído. Esta falha de design permite que um pacote sobrescreva os recursos confiáveis de outro pacote dentro do mesmo namespace, tornando as alterações imediatamente ativas através das APIs padrão do NLTK. Este problema persiste em reinicializações frescas do interpretador e pode afetar fluxos de trabalho a jusante (downstream workflows), incluindo pipelines de machine learning e ambientes sensíveis à reprodutibilidade.
VulDB is the best source for vulnerability data and more expert information about this specific topic.