p PatchFirst

CVE-2026-62384

CVE-2026-62384 · NLTK FramenetCorpusReader Symlink Sandbox Bypass before 3.10.2

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

NLTK versions before 3.10.2 contain a symlink-based sandbox bypass in FramenetCorpusReader that allows attackers to read arbitrary XML files outside the corpus root. Attackers can place symlinks with names containing no path separators inside the corpus subdirectory, which pass the path validation guard and are resolved to files outside the intended corpus root when accessed via frame_by_name(), _lu_file(), or doc() methods.

CVSS 8.7 · Hoch · EPSS 0,7% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • nltk

    Softwareversionen
    • ≥ 3.10.0, < 3.10.2: Betroffen (semver)
    • 3.10.2: Nicht betroffen (semver)

    Auf 3.10.2 aktualisieren

  • nltk Debian:12

    Softwareversionen
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    • 3.8-1
    • 3.8.1-1
    • 3.9.1-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Debian:13

    Softwareversionen
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Debian:14

    Softwareversionen
    • 3.10.0-1
    • 3.10.1-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 3.10.3-1

    Auf 3.10.3-1 aktualisieren

  • nltk PyPI

    Softwareversionen
    • 3.10.0
    • 3.10.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: ≥ 3.10.0, < 3.10.2

    Auf 3.10.2 aktualisieren

  • nltk Ubuntu:Pro:14.04:LTS

    Softwareversionen
    • 2.0~b9-0ubuntu4
    • 2.0~b9-0ubuntu4.1~esm2
    • 2.0~b9-0ubuntu4.1~esm4
    • 2.0~b9-0ubuntu4.1~esm5
    • 2.0~b9-0ubuntu4.1~esm6
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Ubuntu:Pro:16.04:LTS

    Softwareversionen
    • 3.0.4-1
    • 3.0.5-1
    • 3.1-1
    • 3.1-1ubuntu0.1
    • 3.1-1ubuntu0.1+esm1
    • 3.1-1ubuntu0.1+esm2
    • 3.1-1ubuntu0.1+esm3
    • 3.1-1ubuntu0.1+esm4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Ubuntu:Pro:18.04:LTS

    Softwareversionen
    • 3.2.4-1
    • 3.2.5-1
    • 3.2.5-1ubuntu0.1
    • 3.2.5-1ubuntu0.1+esm1
    • 3.2.5-1ubuntu0.1+esm2
    • 3.2.5-1ubuntu0.1+esm3
    • 3.2.5-1ubuntu0.1+esm4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Ubuntu:Pro:20.04:LTS

    Softwareversionen
    • 3.4.5-1
    • 3.4.5-2
    • 3.4.5-2ubuntu0.1~esm1
    • 3.4.5-2ubuntu0.1~esm2
    • 3.4.5-2ubuntu0.1~esm3
    • 3.4.5-2ubuntu0.1~esm4
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Ubuntu:Pro:22.04:LTS

    Softwareversionen
    • 3.5-1
    • 3.6.5-1
    • 3.6.7-1
    • 3.7-1
    • 3.7-1ubuntu0.1~esm1
    • 3.7-1ubuntu0.1~esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Ubuntu:Pro:24.04:LTS

    Softwareversionen
    • 3.8.1-1
    • 3.8.1-1ubuntu0.1~esm1
    • 3.8.1-1ubuntu0.1~esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Ubuntu:26.10

    Softwareversionen
    • 3.9.2-1
    • 3.9.3-1
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • nltk Ubuntu:Pro:26.04:LTS

    Softwareversionen
    • 3.9.1-2
    • 3.9.1-2build1
    • 3.9.2-1
    • 3.9.2-1ubuntu0.1~esm1
    • 3.9.2-1ubuntu0.1~esm2
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →