NLTK : les contrôles de sécurité de pathsec sont désactivés par défaut

Veille sécuritéBackend & données

P3Élevée

NLTK ne bloque pas par défaut les violations détectées par les contrôles de sécurité de `pathsec` : les fonctions concernées émettent un avertissement, puis poursuivent l’opération. L’avis indique que les versions jusqu’à 3.9.4 sont touchées et que la correction est disponible dans 3.10.0 ; il recommande aussi d’activer `NLTK_PATHSEC_ENFORCE=1` sur les versions concernées.

IdentifiantCVE-2026-62388

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif3.10.0

Source : GHSA-p3m8-78j2-g5p3 — NLTK: Default ENFORCE=False Disables All pathsec Security Controls

Analyse technique

Le défaut `ENFORCE=False` fait que les contrôles de chemin, d’URL et de chargement signalent les violations par avertissement au lieu de les bloquer. L’avis lie ce défaut à l’inefficacité pratique des protections contre les problèmes visés par CVE-2024-39705 et CVE-2026-0846.

Impact, versions et correctif

Événement datéL’avis a été publié le 2026-09-02, hors période. Sa mise à jour du 2026-10-27T07:57:48Z est dans la période, mais les éléments fournis ne décrivent pas de changement substantiel daté à cette occasion ; candidat exclu.

ImpactDes opérations que les contrôles de sécurité de NLTK devraient bloquer peuvent continuer malgré un avertissement, notamment l’accès à des chemins non autorisés ou le traitement de données signalées comme dangereuses.

Versions affectéesNLTK <= 3.9.4

Version corrigée3.10.0

ContournementSur les versions concernées, activer `NLTK_PATHSEC_ENFORCE=1`.

Exploitation activenon connue / non déterminée

PoC publicinconnu

EPSS0,51% · percentile 43,5%

Publication2026-09-02T15:40:33Z

Mise à jour2026-10-27T07:57:48Z

Action recommandée

Mettre à niveau NLTK vers 3.10.0 ou une version ultérieure ; à défaut, activer `NLTK_PATHSEC_ENFORCE=1`.

Sources

GHSA-p3m8-78j2-g5p3 — NLTK: Default ENFORCE=False Disables All pathsec Security Controls

Priorisation DFS : P3 · 1 source(s).