JVNDB-2026-027763

NLTKにおけるEval インジェクションに関する脆弱性

NLTK (Natural Language Toolkit) バージョン3.9.3以前のnltk.collocationsモジュールには、evalインジェクションの脆弱性があります。この脆弱性により、コマンドライン引数を制御できる攻撃者が任意のPythonコードを実行できます。collocations.pyが直接呼び出されると、__main__ブロックはコマンドライン引数をBigramAssocMeasuresのサフィックスとしてeval()に直接渡し、許可リストによる検証やサニタイズが行われません。そのため、攻撃者は意図された属性参照から逸脱するPython式を供給でき、osモジュールを通じてOSコマンドを含む任意のコードを実行可能です。

NLTK

• NLTK 3.9.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub Pages : NLTK Command Injection via eval() in collocations.py

VulnCheck

• VulnCheck : NLTK < 3.9.2 Eval Injection via collocations.py Command-Line Arguments  | Advisories | VulnCheck

1. Eval インジェクション(CWE-95) [その他]

1. CVE-2025-71408

1. National Vulnerability Database (NVD) : CVE-2025-71408
2. 関連文書 : replace eval() with getattr() in collocations CLI by purificant  Pull Request #3465  nltk/nltk  GitHub
3. 関連文書 : Release 3.9.3  nltk/nltk  GitHub
4. 関連文書 : Merge pull request #3465 from purificant/_collocations_eval  nltk/nltk@66f1409  GitHub

• [2026年08月12日]
    掲載