p PatchFirst

CVE-2026-12252

CVE-2026-12252 · Untrusted JAR Code Execution in Multiple Stanford Interface Classes in nltk/nltk

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

In nltk/nltk versions 3.9.3 and earlier, five Stanford interface classes (StanfordPOSTagger, StanfordNERTagger, StanfordParser, StanfordDependencyParser, and StanfordNeuralDependencyParser) are vulnerable to untrusted JAR code execution. These classes accept user-controllable JAR paths and execute them via the `java()` function, which invokes `subprocess.Popen()` without integrity verification. This vulnerability is identical to CVE-2026-0848, which was fixed for StanfordSegmenter by adding SHA256 verification. However, the fix was not applied to these additional classes, leaving them susceptible to arbitrary code execution when loading untrusted JAR files.

CVSS 7.8 · Alta · EPSS 0,2% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • nltk/nltk

    Versiones
    • ≥ unspecified, ≤ latest: Afectada (custom)

    Sin corrección publicada

  • nltk Debian:12

    Versiones
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    • 3.8-1
    • 3.8.1-1
    • 3.9.1-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Debian:13

    Versiones
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Debian:14

    Versiones
    • 3.10.0-1
    • 3.10.1-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.10.3-1

    Actualiza a 3.10.3-1

  • nltk PyPI

    Versiones
    • 0.8
    • 0.9
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 0.9.8
    • 0.9.9
    • 2.0.1
    • 2.0.1rc1
    • 2.0.1rc2-git
    • 2.0.1rc3
    • 2.0.1rc4
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0b4
    • 2.0b5
    • 2.0b6
    • 2.0b7
    • 2.0b8
    • 2.0b9
    • 3.0.0
    • 3.0.0b1
    • 3.0.0b2
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 3.0.5
    • 3.1
    • 3.2
    • 3.2.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.3
    • 3.4
    • 3.4.1
    • 3.4.2
    • 3.4.3
    • 3.4.4
    • 3.4.5
    • 3.5
    • 3.5b1
    • 3.6
    • 3.6.1
    • 3.6.2
    • 3.6.3
    • 3.6.4
    • 3.6.5
    • 3.6.6
    • 3.6.7
    • 3.7
    • 3.8
    • 3.8.1
    • 3.9
    • 3.9.1
    • 3.9.2
    • 3.9.3
    • 3.9b1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.9.4

    Actualiza a 3.9.4

  • nltk Ubuntu:Pro:14.04:LTS

    Versiones
    • 2.0~b9-0ubuntu4
    • 2.0~b9-0ubuntu4.1~esm2
    • 2.0~b9-0ubuntu4.1~esm4
    • 2.0~b9-0ubuntu4.1~esm5
    • 2.0~b9-0ubuntu4.1~esm6
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:Pro:16.04:LTS

    Versiones
    • 3.0.4-1
    • 3.0.5-1
    • 3.1-1
    • 3.1-1ubuntu0.1
    • 3.1-1ubuntu0.1+esm1
    • 3.1-1ubuntu0.1+esm2
    • 3.1-1ubuntu0.1+esm3
    • 3.1-1ubuntu0.1+esm4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:Pro:18.04:LTS

    Versiones
    • 3.2.4-1
    • 3.2.5-1
    • 3.2.5-1ubuntu0.1
    • 3.2.5-1ubuntu0.1+esm1
    • 3.2.5-1ubuntu0.1+esm2
    • 3.2.5-1ubuntu0.1+esm3
    • 3.2.5-1ubuntu0.1+esm4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:Pro:20.04:LTS

    Versiones
    • 3.4.5-1
    • 3.4.5-2
    • 3.4.5-2ubuntu0.1~esm1
    • 3.4.5-2ubuntu0.1~esm2
    • 3.4.5-2ubuntu0.1~esm3
    • 3.4.5-2ubuntu0.1~esm4
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:Pro:22.04:LTS

    Versiones
    • 3.5-1
    • 3.6.5-1
    • 3.6.7-1
    • 3.7-1
    • 3.7-1ubuntu0.1~esm1
    • 3.7-1ubuntu0.1~esm2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:Pro:24.04:LTS

    Versiones
    • 3.8.1-1
    • 3.8.1-1ubuntu0.1~esm1
    • 3.8.1-1ubuntu0.1~esm2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:25.10

    Versiones
    • 3.9.1-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:26.10

    Versiones
    • 3.9.2-1
    • 3.9.3-1
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Ubuntu:Pro:26.04:LTS

    Versiones
    • 3.9.1-2
    • 3.9.1-2build1
    • 3.9.2-1
    • 3.9.2-1ubuntu0.1~esm1
    • 3.9.2-1ubuntu0.1~esm2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →