Katalog CVE
CVE-2024-39705
KrytyczneStreszczenie
NLTK w wersji do 3.8.1 umożliwia zdalne wykonanie kodu, jeśli nieufne pakiety zawierają zserializowany kod Pythona, a funkcjonalność pobierania zintegrowanych pakietów danych jest używana. Dotyczy to na przykład averaged_perceptron_tagger oraz punkt.
Ocena ryzyka
Organizacja może być narażona na zdalne wykonanie złośliwego kodu, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację NLTK do najnowszej wersji oraz unikanie używania nieufnych pakietów, które mogą zawierać zserializowany kod.
Oryginalny opis (angielski, źródło NVD)
NLTK through 3.8.1 allows remote code execution if untrusted packages have pickled Python code, and the integrated data package download functionality is used. This affects, for example, averaged_perceptron_tagger and punkt.