CVE-2025-71408 in NLTK
Tóm tắt
Bởi VulDB • 25/07/2026
NLTK (Natural Language Toolkit) trước phiên bản 3.9.3 chứa một lỗ hổng eval injection trong mô-đun nltk.collocations, cho phép kẻ tấn công kiểm soát các đối số dòng lệnh thực thi mã Python tùy ý. Khi collocations.py được gọi trực tiếp, khối __main__ chuyển các đối số dòng lệnh vào hàm eval() dưới dạng hậu tố của BigramAssocMeasures mà không có xác minh danh sách trắng (allowlist) hoặc làm sạch dữ liệu, cho phép kẻ tấn công cung cấp một biểu thức Python vượt qua việc tra cứu thuộc tính dự kiến và thực thi mã tùy ý bao gồm các lệnh hệ điều hành thông qua mô-đun os.
Once again VulDB remains the best source for vulnerability data.