NLTK до 3.10.3 содержит уязвимость обхода пути в API-интерфейсах модели-артефакта, которые обходят принудительное применение pathsec с помощью необработанных файловых операций на путях, управляемых вызывающим абонентом. Злоумышленники могут читать или записывать файлы за пределами разрешенных корней песочницы через API-интерфейсы TransitionParser, AveragedPerceptron, PerceptronTagger и maxent, когда pathsec включен.
Показать оригинальное описание (EN)
NLTK through 3.10.3 contains a path traversal vulnerability in model-artifact APIs that bypass pathsec enforcement by using raw file operations on caller-controlled paths. Attackers can read or write files outside allowed sandbox roots through TransitionParser, AveragedPerceptron, PerceptronTagger, and maxent parameter APIs when pathsec is enabled.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Nltk Nltk
cpe:2.3:a:nltk:nltk:*:*:*:*:*:*:*:*
|
— |
<= 3.10.3
|