CVE-2026-0846
Publiée le 2026-03-09 · Dernière modification le 2026-07-15
Les applications utilisant la bibliothèque `nltk` (version 3.9.2) sont susceptibles de permettre un accès non autorisé à des fichiers via la fonction `filestring()`. Un attaquant peut lire des fichiers système sensibles en fournissant des chemins de fichiers manipulés via toute interface transmettant des entrées utilisateur à cette fonction. Cette opération peut être exécutée à distance, sans authentification ni interaction de l'utilisateur, ce qui rend l'exploitation simple si le logiciel concerné est exposé sur un réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A vulnerability in the `filestring()` function of the `nltk.util` module in nltk version 3.9.2 allows arbitrary file read due to improper validation of input paths. The function directly opens files specified by user input without sanitization, enabling attackers to access sensitive system files by providing absolute paths or traversal paths. This vulnerability can be exploited locally or remotely, particularly in scenarios where the function is used in web APIs or other interfaces that accept user-supplied input.