PT-2026-146627
CVE-2026-126296
·
تاريخ النشر
2026-11-13
·
تاريخ التحديث
2026-11-13
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
NLTK الإصدارات السابقة لـ 3.10.4
Description
توجد مشكلة في الدالتين
save maxent params() و load maxent params() تسمح بتجاوز المسار (path traversal)، مما يؤدي إلى تخطي آلية تقييد نظام الملفات pathsec. يحدث هذا لأن الدوال تستدعي دالة open() المدمجة في لغة بايثون مباشرة. يمكن للمهاجم الذي يتحكم في المتغير tab dir قراءة أو الكتابة فوق ملفات معاملات النموذج الموجودة خارج جذور البيانات المسموح بها.Recommendations
تحديث NLTK إلى الإصدار 3.10.4 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى الدالتين
save maxent params() و load maxent params() أو تأكد من التحقق بدقة من المتغير tab dir. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾