CVE-2026-126296

Nome do Software Vulnerável e Versões Afetadas NLTK versões anteriores a 3.10.4

Description Existe um problema nas funções save maxent params() e load maxent params() que permite a travessia de caminho (path traversal), ignorando o mecanismo de restrição de sistema de arquivos pathsec. Isso ocorre porque as funções chamam o open() nativo do Python diretamente. Um invasor que controle a variável tab dir pode ler ou sobrescrever arquivos de parâmetros de modelo localizados fora das raízes de dados permitidas.

Recommendations Atualize o NLTK para a versão 3.10.4 ou posterior. Como mitigação temporária, restrinja o acesso às funções save maxent params() e load maxent params() ou garanta que a variável tab dir seja rigorosamente validada.