p PatchFirst

CVE-2026-78683

CVE-2026-78683 · NLTK before 3.10.0 Remote Code Execution via Unsafe Pickle Deserialization

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

NLTK before 3.10.0 (affected versions <=3.9.4) contains an unsafe pickle deserialization vulnerability in the TransitionParser.parse() method (nltk/parse/transitionparser.py). The method calls pickle_load() with the default restricted=False, routing deserialization through WarningUnpickler, which does not override find_class() and therefore permits arbitrary class resolution. When an application loads an attacker-crafted model file, embedded pickle gadget chains execute arbitrary Python code with the privileges of the user running the application. NLTK provides a RestrictedUnpickler for safe deserialization, but it is not used by production code paths. Fixed in 3.10.0.

CVSS 9.4 · Crítica · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • nltk

    Versiones
    • ≥ 0, < 3.10.0: Afectada (semver)
    • 3.10.0: No afectada (semver)

    Actualiza a 3.10.0

  • nltk Debian:12

    Versiones
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    • 3.8-1
    • 3.8.1-1
    • 3.9.1-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Debian:13

    Versiones
    • 3.10.0-1
    • 3.10.1-1
    • 3.10.3-1
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • nltk Debian:14

    Versiones
    • 3.9.1-2
    • 3.9.2-1
    • 3.9.3-1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.10.0-1

    Actualiza a 3.10.0-1

  • nltk PyPI

    Versiones
    • 0.8
    • 0.9
    • 0.9.3
    • 0.9.4
    • 0.9.5
    • 0.9.6
    • 0.9.7
    • 0.9.8
    • 0.9.9
    • 2.0.1
    • 2.0.1rc1
    • 2.0.1rc2-git
    • 2.0.1rc3
    • 2.0.1rc4
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0b4
    • 2.0b5
    • 2.0b6
    • 2.0b7
    • 2.0b8
    • 2.0b9
    • 3.0.0
    • 3.0.0b1
    • 3.0.0b2
    • 3.0.1
    • 3.0.2
    • 3.0.3
    • 3.0.4
    • 3.0.5
    • 3.1
    • 3.2
    • 3.2.1
    • 3.2.2
    • 3.2.3
    • 3.2.4
    • 3.2.5
    • 3.3
    • 3.4
    • 3.4.1
    • 3.4.2
    • 3.4.3
    • 3.4.4
    • 3.4.5
    • 3.5
    • 3.5b1
    • 3.6
    • 3.6.1
    • 3.6.2
    • 3.6.3
    • 3.6.4
    • 3.6.5
    • 3.6.6
    • 3.6.7
    • 3.7
    • 3.8
    • 3.8.1
    • 3.9
    • 3.9.1
    • 3.9.2
    • 3.9.3
    • 3.9.4
    • 3.9b1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 3.10.0

    Actualiza a 3.10.0

Fuentes originales

Comprueba tu servidor →