PT-2026-20477
CVE-2025-14009
·
تاريخ النشر
2025-01-01
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
nltk/nltk (الإصدارات المتأثرة غير محددة)
الوصف
توجد مشكلة خطيرة في مكون التنزيل الخاص بـ NLTK. تستخدم الدالة
unzip iter الموجودة في ملف nltk/downloader.py دالة zipfile.extractall() دون التحقق من صحة مسارات الملفات أو تنفيذ أي إجراءات أمان. وهذا يسمح للمهاجمين بإنشاء حزم zip ضارة يمكنها، عند تنزيلها واستخراجها بواسطة NLTK، تنفيذ تعليمات برمجية عشوائية. تحدث هذه الثغرة الأمنية لأن NLTK يثق في جميع الحزم التي يتم تنزيلها ويقوم باستخراجها دون التحقق من صحتها. إذا احتوت حزمة ضارة على ملفات Python، مثل init .py، فسيتم تنفيذ هذه الملفات تلقائيًا عند الاستيراد، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد والسيطرة الكاملة على النظام، بما في ذلك الوصول إلى نظام الملفات، والوصول إلى الشبكة، وإمكانية الاستمرارية.التوصيات
في الوقت الحالي، لا توجد معلومات عن إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾