Iniciar sesión
Deutsch English Español Polski
Alta

ntlk unsafe deserialization vulnerability

  • Publicada: 27.06.2024
  • Actualizado: 11.10.2026 15:17

NLTK through 3.8.1 allows remote code execution if untrusted packages have pickled Python code, and the integrated data package download functionality is used. This affects, for example, averaged_perceptron_tagger and punkt.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Python (PyPI) nltk < 3.9 3.9

Referencias

Puntuación CVSS 7.5/10
Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-300, CWE-502
Plataforma
Python (PyPI)
Paquete
nltk
Publicada
27.06.2024
Actualizado
11.10.2026 15:17

Fuentes y licencias

OSV / GitHub Advisory Database - PYSEC-2024-167 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-cgvx-9447-vcch - CC BY 4.0

Historial de vulnerabilidades: nltk

Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (52) en el archivo
Entradas en total
52
Primera → última
08.2019 09.2026
Sin corrección
6
Explotada en ataques
0

Distribución por gravedad

  • Crítica 5
  • Alta 32
  • Media 13
  • Baja 2

Divulgaciones por año

Gravedad:
  1. ntlk unsafe deserialization vulnerability esta entrada
    Alta · 7.5 CVE-2024-39705 < 3.9 3.9
  2. NLTK: Uncontrolled search path when invoking the Graphviz 'dot' binary
    Alta · 7.8 CVE-2026-78680 < 3.10.3 3.10.3
  3. NLTK: Model-artifact APIs bypass pathsec and touch files outside allowed roots
    Alta · 7.0 CVE-2026-81726 <= 3.10.3 sin corrección
  4. NLTK: ReDoS in nltk.tgrep via unvalidated user-supplied regular expressions
    Alta CVE-2026-80206 < 3.10.3 3.10.3
  5. NLTK: ReDoS in nltk.text.Text.findall() via unvalidated user-supplied regular expressions
    Alta · 7.5 CVE-2026-80205 < 3.10.0 3.10.0
  6. NLTK: JVM argument injection bypass via per-call options in the NLTK Stanford wrappers (incomplete fix of CVE-2026-12841)
    Crítica · 9.8 CVE-2026-79675 < 3.10.3 3.10.3
  7. NLTK: Corpus readers follow symlinks outside trusted roots despite pathsec enforcement
    Alta CVE-2026-79676 < 3.10.3 3.10.3
  8. NLTK: Corpus Reader Sandbox Bypass
    Alta CVE-2026-79674 < 3.10.3 3.10.3
  9. NLTK: Allowlisted pickle loaders still permit code execution in current source
    Crítica CVE-2026-79657 < 3.10.3 3.10.3
  10. NLTK: Unsafe Pickle Deserialization in TransitionParser Allows Remote Code Execution
    Crítica CVE-2026-78683 < 3.10.0 3.10.0
  11. NLTK: Entity-expansion DoS (billion laughs) via remaining raw ElementTree parses
    Alta CVE-2026-78681 < 3.10.3 3.10.3
  12. NLTK: pathsec SSRF protection can be bypassed when a proxy is configured
    Alta CVE-2026-78682 < 3.10.3 3.10.3
  13. NLTK AllowlistUnpickler dotted-name validation bypass allows remote code execution
    Alta · 8.8 CVE-2026-71513 >= 3.10.0, < 3.10.3 3.10.3
  14. NLTK: Symlink escape in CorpusReader allows arbitrary local file read outside the corpus root
    Alta · 6.2 CVE-2026-70626 < 3.9.4 3.9.4
  15. NLTK: StreamBackedCorpusView Bypasses pathsec.ENFORCE - Arbitrary Local File Read
    Alta CVE-2026-63312 < 3.10.0 3.10.0
  16. NLTK: Symlink-based sandbox bypass in FramenetCorpusReader (bypasses the fix for CVE-2026-54292)
    Alta · 7.5 CVE-2026-62384 >= 3.10.0, < 3.10.2 3.10.2
  17. NLTK: Stable FrameNet and NKJP readers parse outside-root XML
    Alta · 5.9 CVE-2026-62385 < 3.10.0 3.10.0
  18. NLTK: Default ENFORCE=False Disables All pathsec Security Controls
    Alta CVE-2026-62388 < 3.10.0 3.10.0
  19. NLTK TweetTokenizer vulnerable to denial of service through catastrophic regex backtracking
    Alta · 7.5 CVE-2026-72818 < 3.10.1 3.10.1
  20. Natural Language Toolkit (NLTK): DNS-rebinding SSRF filter bypass in nltk.pathsec.urlopen (nltk.download / nltk.data.load) defeats ENFORCE mode
    Alta · 8.6 CVE-2026-12075 < 3.10.0 3.10.0
  21. Natural Language Toolkit (NLTK): ReDoS in NLTK ReviewsCorpusReader FEATURES regex
    Alta · 7.5 CVE-2026-12061 < 3.10.0 3.10.0
Mostrar más (16) Mostrando 21 de 37

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.