CVE-2026-12259

Nome do Software Vulnerável e Versões Afetadas nltk versão 3.9.4

Description A função nltk.downloader.Downloader. download package() grava os bytes do pacote baixado no disco e pode extraí-los antes de aplicar a validação de checksum SHA-256 ou MD5. Isso permite que um invasor manipule o corpo da resposta do pacote para info.url por meio de um espelho comprometido, proxy malicioso ou outra condição de substituição de fonte, levando à instalação de bytes de pacote controlados pelo invasor. Consequentemente, conteúdo malicioso de corpus ou modelo pode ser confiado por usuários ou aplicações downstream.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.