Към съдържанието
Търсене

CVE-2026-12259: nltk/nltk, верига на доставки

5.3

CVSS 3.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

In nltk version 3.9.4, the `nltk.downloader.Downloader._download_package()` function writes downloaded package bytes to disk and may extract them before enforcing SHA-256 or MD5 checksum validation. This allows an attacker to tamper with the package response body for `info.url` through a compromised mirror, malicious proxy, or other source-substitution condition, leading to the installation of attacker-controlled package bytes. The vulnerability can result in malicious corpus or model content being trusted by downstream users or applications.

Засегнати продукти

  • nltk nltk/nltk: unspecified до latest

Вид слабост

История

  • 3 август 2026 Публикувано

Други уязвимости в nltk nltk/nltk

Първоизточници

CVE-2026-12259: nltk/nltk, верига на доставки | freedomonline.bg