CVE-2025-14009
Təsvir
nltk/nltk-nın NLTK downloader komponentində bütün versiyalara təsir edən kritik boşluq mövcuddur. nltk/downloader.py faylındakı _unzip_iter funksiyası yol validasiyasını və ya təhlükəsizlik yoxlamalarını həyata keçirmədən zipfile.extractall()-dan istifadə edir. Bu, hücumçulara zərərli zip paketləri hazırlamağa imkan verir ki, bunlar NLTK tərəfindən yükləndikdə və çıxarıldıqda ixtiyari kodun icrasına səbəb ola bilər. Boşluq, NLTK-nın bütün yüklənmiş paketlərin etibarlı olduğunu fərz etməsi və onları validasiya etmədən çıxarmasından qaynaqlanır. Əgər zərərli paket __init__.py kimi Python fayllarını ehtiva edirsə, bu fayllar import zamanı avtomatik olaraq icra edilir və uzaqdan kodun icrasına gətirib çıxarır. Bu problem fayl sisteminə giriş, şəbəkə girişi və potensial davamlılıq mexanizmləri də daxil olmaqla, sistemin tam kompromisə uğramasına səbəb ola bilər.
Necə düzəltmək olar
- nltk nltk3.9.3 və ya daha yeni versiya
- nltk3.9.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nltk nltk | v < 3.9.3 | 3.9.3 |
| nltkPyPI | v < 3.9.3 | 3.9.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.