Vulnerabilidad · Publicado 22/08/2026 · Actualizado 23/08/2026
NLTK (Natural Language Toolkit) anterior a versión 3.9.3 no valida la integridad de paquetes descargados antes de su extracción, permitiendo ataques de intermediario (MITM) o envenenamiento DNS para inyectar contenido malicioso. Afecta principalmente a empresas en LATAM que usan este framework en pipelines de procesamiento de lenguaje natural, análisis de datos y sistemas de chatbots.
NLTK before 3.9.3 fails to verify file integrity after downloading packages and before extraction in the downloader module. Attackers can perform man-in-the-middle attacks or DNS poisoning to inject malicious package contents that are extracted without validation.
Score: 7.1/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:H
CWE-494
Publicado en NIST NVD.