CVE-2026-62384 in NLTK
Tóm tắt
Bởi VulDB • 22/08/2026
Các phiên bản NLTK trước 3.10.2 chứa một lỗ hổng bypass sandbox dựa trên symlink trong FramenetCorpusReader, cho phép kẻ tấn công đọc các tệp XML tùy ý nằm ngoài thư mục gốc của corpus. Kẻ tấn công có thể đặt các symlink với tên không chứa ký tự phân tách đường dẫn (path separators) bên trong thư mục con của corpus; những symlink này vượt qua kiểm tra xác thực đường dẫn và được giải quyết thành các tệp nằm ngoài thư mục gốc corpus dự định khi truy cập thông qua các phương thức frame_by_name(), _lu_file() hoặc doc().
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.