FICHE CVE

CVE-2026-79675

Publiée le 2026-08-25 · Dernière modification le 2026-09-01

🇫🇷 EN BREF

Les applications Python utilisant la bibliothèque NLTK (versions antérieures à 3.10.3) sont vulnérables à l'exécution de code à distance via la fonction `java()`. Un attaquant peut injecter des drapeaux JVM malveillants pour exécuter du code arbitraire sur votre serveur sans nécessiter d'authentification ni d'interaction utilisateur. Il s'agit d'une faille à haut risque qui peut être déclenchée via le réseau si votre application transmet des entrées non fiables à l'enveloppe Java de NLTK.

CVSS 4.09.3 CRITIQUE

Type de faiblesse

CWE-88

Publiée2026-08-25

Dernière modification2026-09-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

NLTK before 3.10.3 fails to validate JVM options passed through the per-call options parameter in the java() function, allowing attackers to inject dangerous JVM flags. Attackers can supply malicious options like -agentpath, -javaagent, or @argfile to Stanford wrapper classes to achieve arbitrary code execution.