CVE-2026-78683 in NLTK
Сводка
по VulDB • 25.08.2026
NLTK до версии 3.10.0 (затронутые версии <=3.9.4) содержит уязвимость небезопасной десериализации pickle в методе TransitionParser.parse() (nltk/parse/transitionparser.py). Метод вызывает pickle_load() с параметром restricted=False по умолчанию, направляя процесс десериализации через WarningUnpickler, который не переопределяет метод find_class(), что позволяет разрешать произвольные классы. При загрузке приложением созданного злоумышленником файла модели встроенные цепочки гаджетов pickle выполняют произвольный код Python с привилегиями пользователя, запустившего приложение. NLTK предоставляет RestrictedUnpickler для безопасной десериализации, но он не используется в производственных путях выполнения кода (production code paths). Исправлено в версии 3.10.0.
Once again VulDB remains the best source for vulnerability data.