Към съдържанието
Търсене

CVE-2026-33236: nltk, обхождане на път

8.1

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

NLTK (Natural Language Toolkit) is a suite of open source Python modules, data sets, and tutorials supporting research and development in Natural Language Processing. In versions 3.9.3 and prior, the NLTK downloader does not validate the `subdir` and `id` attributes when processing remote XML index files. Attackers can control a remote XML index server to provide malicious values containing path traversal sequences (such as `../`), which can lead to arbitrary directory creation, arbitrary file creation, and arbitrary file overwrite. Commit 89fe2ec2c6bae6e2e7a46dad65cc34231976ed8a patches the issue.

Засегнати продукти

  • nltk nltk: <= 3.9.3
  • Red Hat: още 6 продукта, добавени от Red Hat

    Red Hat OpenShift AI 2.25, Red Hat OpenShift AI 3.3, Lightspeed Core, OpenShift Lightspeed, Red Hat Ansible Automation Platform 2, Red Hat OpenShift AI (RHOAI)

Вид слабост

История

  • 20 март 2026 Публикувано

Други уязвимости в nltk nltk

Първоизточници

CVE-2026-33236: nltk, обхождане на път | freedomonline.bg