WekaClassifier de NLTK transmet des chemins de modèle contrôlés par l’appelant à la JVM Weka sans appliquer les contrôles de confinement de chemins décrits dans l’avis. Selon l’avis, cela permet notamment une écriture hors des répertoires NLTK autorisés et une lecture ou analyse de fichiers ; la version corrigée indiquée est NLTK 3.10.4.
Source : GHSA-j456-xh4h-cpf2 — NLTK: WekaClassifier passes an unvalidated caller-controlled model path
Analyse technique
L’avis indique que les chemins passés aux options Weka `-d` et `-l` ne sont pas validés dans WekaClassifier, contrairement à d’autres wrappers NLTK. Aucun CVE n’est fourni dans le candidat ; l’item est donc référencé par son identifiant GHSA.
Impact, versions et correctif
Action recommandée
Mettre à jour NLTK vers 3.10.4 ou ultérieure et ne pas laisser des entrées non fiables choisir les chemins de modèle Weka.
Sources
Priorisation DFS : P3 · 1 source(s).