CVE-2025-14009 in nltk
Сводка
по VulDB • 15.06.2026
Критическая уязвимость существует в компоненте загрузчика NLTK (NLTK downloader) библиотеки nltk/nltk, затрагивая все версии. Функция _unzip_iter в файле nltk/downloader.py использует zipfile.extractall() без проверки путей или выполнения проверок безопасности. Это позволяет злоумышленникам создавать вредоносные zip-архивы, которые при загрузке и извлечении NLTK могут выполнять произвольный код. Уязвимость возникает из-за того, что NLTK предполагает, что все загруженные пакеты являются доверенными, и извлекает их без проверки. Если вредоносный пакет содержит файлы Python, такие как __init__.py, эти файлы выполняются автоматически при импорте, что приводит к удаленному выполнению кода (RCE). Эта проблема может привести к полному компрометированию системы, включая доступ к файловой системе, сетевой доступ и потенциальные механизмы персистентности.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.