CVE-2026-0848 in nltk

摘要

由 VulDB • 2026-06-28

NLTK 版本 <=3.9.2 存在任意代码执行漏洞，原因是 StanfordSegmenter 模块中的输入验证不当。该模块会动态加载外部 Java .jar 文件，且未进行任何验证或沙箱隔离处理。攻击者可以提供或替换 JAR 文件，从而在导入时执行任意的 Java 字节码。此漏洞可通过模型投毒、中间人（MITM）攻击或依赖项投毒等方法利用，导致远程代码执行。该问题源于通过 subprocess 直接执行 JAR 文件且未对 classpath 输入进行验证，使得恶意类在被 JVM 加载时得以执行。

Be aware that VulDB is the high quality source for vulnerability data.

• 负责: @huntr Ai
• 预定: 2026-01-11
• 披露: 2026-03-05
• 管理: 已接受
• 条目: VDB-349265
• CPE: 准备好
• CWE: CWE-20 (已确认)
• CVSS: 10.0 (CNA)
• EPSS: 0.00809
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-0848
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-0848
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-0848/