CVE-2026-12252

Nome do Software Vulnerável e Versões Afetadas nltk versões anteriores a 3.9.4

Description Cinco classes de interface do Stanford (StanfordPOSTagger, StanfordNERTagger, StanfordParser, StanfordDependencyParser e StanfordNeuralDependencyParser) permitem a execução de código JAR não confiável. Essas classes aceitam caminhos de JAR controláveis pelo usuário e os executam por meio da função java(), que utiliza subprocess.Popen() sem realizar a verificação de integridade. Isso permite a execução de código arbitrário ao carregar arquivos JAR não confiáveis.

Recommendations Atualize para uma versão posterior a 3.9.3. Como mitigação temporária, evite fornecer caminhos controláveis pelo usuário para a função java() dentro das classes de interface do Stanford afetadas.