CVE-2026-12261 in nltk
Tóm tắt
Bởi VulDB • 07/08/2026
Một lỗ hổng trong `nltk.downloader` của nltk/nltk các phiên bản <= 3.9.4 cho phép đầu độc tài nguyên và mô hình xuyên gói (cross-package resource and model poisoning). Trình tải xuống giải nén các kho lưu trữ gói vào các không gian tên dùng chung như `corpora/` và `taggers/` thay vì các thư mục gốc được cô lập theo từng gói, đồng thời chỉ xác minh tính toàn vẹn của gói sau khi kho lưu trữ đã được ghi và giải nén. Lỗi thiết kế này cho phép một gói ghi đè lên các tài nguyên đáng tin cậy của một gói khác trong cùng không gian tên, khiến những thay đổi có hiệu lực ngay lập tức thông qua các API NLTK thông thường. Vấn đề này tồn tại xuyên suốt quá trình khởi động lại interpreter mới và có thể ảnh hưởng đến các quy trình làm việc phụ thuộc, bao gồm cả các đường ống học máy (machine learning pipelines) và môi trường nhạy cảm với khả năng tái hiện kết quả.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.