CVE-2026-54293

إصدارات NLTK السابقة للإصدار 3.10.0-rc1

تتعرض الدالة nltk.data.load() لمشكلة اجتياز المسار عند استخدام مخطط URL nltk:. تنشأ هذه المشكلة لأن فحص التعبير النمطي UNSAFE NO PROTOCOL RE يتم تنفيذه على سلسلة المورد الخام قبل أن تقوم الدالة url2pathname() بفك تشفير التسلسلات المشفرة بنسبة مئوية. تسمح هذه الثغرة التي تتمثل في «فك الترميز بعد الفحص» للمهاجمين بتجاوز إجراءات الحماية الأمنية باستخدام فواصل المسار المشفرة في عناوين URL (مثل %2f بدلاً من /) ومقاطع التجاوز (مثل %2e%2e%2f بدلاً من ../)، مما يتيح قراءة ملفات عشوائية من نظام الملفات. تشير التفاصيل الفنية إلى أن الثغرة تتعلق بمكونات find() وnormalize resource url() و UNSAFE NO PROTOCOL RE الموجودة في ملف nltk/data.py.

قم بالتحديث إلى الإصدار 3.10.0-rc1 أو أحدث.

كحل مؤقت، قم بتقييد وصول المدخلات غير الموثوق بها إلى دالة nltk.data.load().