PT-2026-146635

CVE-2026-126304

Publicado

2026-11-13

Atualizado

2026-11-13

Descrição por

CVSS 4.0

8.7

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas NLTK versões 3.10.0 até 3.10.3

Descrição Um problema de escape de link simbólico existe no componente YCOECorpusReader. Atacantes que controlam um corpus YCOE podem plantar links simbólicos nos diretórios psd ou pos para ler arquivos fora da raiz do corpus. Isso permite que as funções parsed sents() e tagged words() retornem conteúdo de outros corpora ou arquivos temporários localizados na sandbox de dados do NLTK.

Recomendações Atualize o NLTK para a versão 3.10.4 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Manus-Pi

Manus-Use

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-59: Improper Link Resolution Before File Access (\'Link Following\')