FICHE CVE

CVE-2026-78680

Publiée le 2026-08-25 · Dernière modification le 2026-10-12

🇫🇷 EN BREF

Les versions de NLTK antérieures à 3.10.3 sont concernées car elles appellent l'outil `dot` de Graphviz via un chemin relatif plutôt qu'un chemin absolu fixe. Un attaquant disposant d'un accès local à votre système peut exécuter du code arbitraire avec vos privilèges d'utilisateur en plaçant un fichier malveillant nommé `dot` dans votre répertoire de travail actuel ou dans votre chemin de recherche. Cela nécessite que l'attaquant ait déjà la capacité d'écrire des fichiers sur votre disque, mais aucune autre interaction de l'utilisateur n'est nécessaire pour déclencher l'exploitation.

CVSS 4.08.5 ÉLEVÉE

Type de faiblesse

Chemin de recherche non fiable · CWE-426

Publiée2026-08-25

Dernière modification2026-10-12

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

NLTK versions before 3.10.3 fail to use validated absolute paths when invoking the Graphviz dot binary in dependencygraph.dot2img and AlignedSent._repr_svg_, allowing attackers to execute arbitrary code by placing a malicious dot binary in the search path or current working directory. Attackers can exploit bare-name binary resolution on Windows via the current working directory or on Unix-like systems via relative PATH entries to execute their binary instead of the legitimate Graphviz tool.