PT-2026-26300
CVE-2026-33236
·
تاريخ النشر
2026-03-19
·
تاريخ التحديث
2026-08-05
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات NLTK 3.9.3 والإصدارات الأقدم
الوصف
NLTK (Natural Language Toolkit) هي مجموعة من الوحدات النمطية مفتوحة المصدر بلغة Python، ومجموعات البيانات، والبرامج التعليمية التي تدعم البحث والتطوير في مجال معالجة اللغة الطبيعية. لا يقوم برنامج تنزيل NLTK بالتحقق من صحة السمتين
subdir وid عند معالجة ملفات فهرس XML عن بُعد. وهذا يسمح للمهاجمين الذين يتحكمون في خادم فهرس XML عن بُعد بتوفير قيم ضارة تحتوي على تسلسلات عبور المسار (مثل ../). وقد يؤدي الاستغلال الناجح إلى إنشاء مجلدات عشوائية، وإنشاء ملفات عشوائية، والكتابة فوق ملفات عشوائية. وتتمثل المواقع الرئيسية للرمز المعني في تحليل XML دون التحقق من الصحة في nltk/downloader.py:253، وبناء المسار دون فحوصات في nltk/downloader.py:679، وإنشاء الدلائل دون قيود في nltk/downloader.py:687، وكتابة الملفات دون حماية في nltk/downloader.py:695. تتضمن سلسلة الهجوم سيطرة المهاجم على خادم فهرس XML عن بُعد، وتوفير ملف XML ضار يحتوي على تسلسلات لاجتياز المسار، وتنفيذ الضحية لبرنامج التنزيل. وقد يؤدي ذلك إلى الكتابة فوق ملفات النظام.التوصيات
الإصدارات السابقة للإصدار 3.9.4 معرضة للتأثر.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾