nltk
Opgelost in
3.9.3
CVE-2026-0847 is een Remote Code Execution (RCE) kwetsbaarheid die is ontdekt in de Natural Language Toolkit (NLTK) tot en met versie 3.9.2. Deze kwetsbaarheid maakt het mogelijk voor aanvallers om via path traversal toegang te krijgen tot gevoelige bestanden op de server. De kwetsbaarheid treedt op doordat bepaalde CorpusReader klassen, zoals WordListCorpusReader en TaggedCorpusReader, geen adequate validatie uitvoeren van bestandspaden. Een patch is beschikbaar.
Een succesvolle exploitatie van CVE-2026-0847 kan leiden tot ongeautoriseerde toegang tot gevoelige bestanden op de server waarop NLTK draait. Dit omvat potentieel configuratiebestanden, API-sleutels, of andere vertrouwelijke gegevens. De impact is bijzonder groot in omgevingen waar NLTK wordt gebruikt in machine learning API's, chatbots of NLP pipelines, omdat deze vaak gebruik maken van user-controlled file inputs. Een aanvaller kan deze kwetsbaarheid misbruiken om code uit te voeren en de controle over het systeem over te nemen, of om gevoelige informatie te stelen. De mogelijkheid tot code execution maakt dit een kritieke kwetsbaarheid.
Er is momenteel geen publieke exploitatie bevestigd, maar de kwetsbaarheid is kritiek vanwege de mogelijkheid tot Remote Code Execution. De kwetsbaarheid is openbaar gemaakt op 2026-03-04. De EPSS score is nog niet bekend. Er zijn geen bekende actieve campagnes gerelateerd aan deze specifieke kwetsbaarheid.
Applications and systems utilizing NLTK for natural language processing tasks, particularly those that accept user-provided file inputs, are at risk. This includes machine learning APIs, chatbots, and NLP pipelines. Developers who have built custom corpus readers or extended NLTK functionality without proper input validation are also at increased risk.
• python / server:
import os
import glob
# Check for suspicious file paths in NLTK corpus readers
corpus_root = '/path/to/nltk/corpus'
for filename in glob.glob(os.path.join(corpus_root, '**', '*')): # Recursive search
if '..' in filename:
print(f'Suspicious file path found: {filename}')• linux / server:
# Monitor NLTK process for unusual file access patterns
journalctl -u nltk -f | grep -i 'open|read' | grep '..'disclosure
Exploit Status
EPSS
0.29% (52% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2026-0847 is het upgraden van NLTK naar een beveiligde versie. Controleer de officiële NLTK-website of GitHub repository voor de meest recente versie met de fix. Indien een upgrade momenteel niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van strenge input validatie op alle bestandspaden die aan de CorpusReader klassen worden doorgegeven. Dit kan door middel van whitelisting van toegestane bestanden of directories, en het afwijzen van paden die directory traversal characters bevatten (zoals '..' of '/'). Na de upgrade, bevestig de fix door een test uit te voeren die probeert een bestand buiten de toegestane directory te lezen.
Werk de NLTK bibliotheek bij naar een versie later dan 3.9.2. Dit zal de path traversal kwetsbaarheid oplossen. U kunt bijwerken met pip: `pip install --upgrade nltk`.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-0847 is a Remote Code Execution vulnerability in NLTK versions up to 3.9.2, allowing attackers to read arbitrary files through path traversal.
If you are using NLTK versions 3.9.2 or earlier, you are potentially affected by this vulnerability.
Upgrade to a patched version of NLTK. Until a patch is available, implement strict input validation on file paths.
There is currently no confirmed active exploitation of CVE-2026-0847, but the vulnerability's nature suggests potential for future exploitation.
Refer to the NLTK project's security advisories and release notes for updates regarding CVE-2026-0847.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je requirements.txt-bestand en we vertellen je direct of je getroffen bent.