NLTK: Downloader.download follows hardlinks and overwrites outside-root files — GHSA-F794-5JV7-7672

GitHub · GitHub · GHSA-F794-5JV7-7672

ID
GHSA-F794-5JV7-7672

Datum
2026-09-02

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
6.9

EPSS
0.00135

Zusammenfassung

### Summary NLTK's downloader now blocks symlink escapes during ZIP extraction, but it still treats pre-existing hardlinks inside the install tree as ordinary in-root files. A normal package install can therefore overwrite an outside-root inode through that hardlink. ### Details - **Vulnerability type:** Filesystem containment bypass - **Affected component:** `nltk.downloader.Downloader.download`,…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-09-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 6.9 von 10.
Gemeldeter EPSS-Wert: 0.00135.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: pip: nltk.

Produkt

pip: nltk

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-F794-5JV7-7672
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-09-02
Letzte Quellenaktivität: 2026-09-02
Weitere Kennungen: CVE-2026-81727
Kuratiert von: hlukh.ch