NLTK में एक पाथ ट्रावर्सल (Path Traversal) समस्या है

यह भेद्यता NLTK के CorpusReader वर्गों में मौजूद है, जिसमें WordListCorpusReader, TaggedCorpusReader, और BracketParseCorpusReader शामिल हैं। ये वर्ग फ़ाइल पथों को ठीक से सैनिटाइज या मान्य नहीं करते हैं, जिससे हमलावरों को निर्देशिकाओं को पार करने और संवेदनशील फ़ाइलों तक पहुँचने की अनुमति मिलती है। मशीन लर्निंग एपीआई, चैटबॉट या एनएलपी पाइपलाइनों में उपयोगकर्ता-नियंत्रित फ़ाइल इनपुट को संसाधित करने वाली स्थितियों में यह भेद्यता विशेष रूप से महत्वपूर्ण है। एक हमलावर सर्वर पर संग्रहीत कॉन्फ़िगरेशन फ़ाइलों, डेटाबेस क्रेडेंशियल्स या अन्य संवेदनशील जानकारी तक पहुँच सकता है। इस भेद्यता का शोषण करने से डेटा उल्लंघन, सिस्टम समझौता या अन्य दुर्भावनापूर्ण गतिविधियाँ हो सकती हैं।

Applications and systems utilizing NLTK for natural language processing tasks, particularly those that accept user-provided file inputs, are at risk. This includes machine learning APIs, chatbots, and NLP pipelines. Developers who have built custom corpus readers or extended NLTK functionality without proper input validation are also at increased risk.

• python / server:

import os
import glob

# Check for suspicious file paths in NLTK corpus readers
corpus_root = '/path/to/nltk/corpus'
for filename in glob.glob(os.path.join(corpus_root, '**', '*')): # Recursive search
    if '..' in filename:
        print(f'Suspicious file path found: {filename}')

• linux / server:

# Monitor NLTK process for unusual file access patterns
journalctl -u nltk -f | grep -i 'open|read' | grep '..'

1. 2026-03-04Disclosure

   disclosure

1. आरक्षित2026-01-10
2. प्रकाशित2026-03-04
3. EPSS अद्यतन2026-03-23

CVE-2026-0847 के लिए प्राथमिक शमन उपाय NLTK को नवीनतम संस्करण में अपग्रेड करना है, जिसमें भेद्यता को ठीक किया गया है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, फ़ाइल पथों को मान्य करने और सैनिटाइज करने के लिए अतिरिक्त सुरक्षा जांच लागू की जा सकती है। वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके भी फ़ाइल पथ ट्रैवर्सल हमलों को कम किया जा सकता है। फ़ाइल पथों को मान्य करने के लिए नियमित अभिव्यक्ति का उपयोग करें और सुनिश्चित करें कि उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को संसाधित करने से पहले सभी फ़ाइल पथों को सैनिटाइज किया गया है।