JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-032274 nltk/nltk バージョン ＜= 3.9.4 の `nltk.downloader` に存在する脆弱性によって、クロスパッケージのリソースおよびモデルの汚染が可能になります。ダウンローダーはパッケージごとに隔離されたルートではなく、`corpora/` や `taggers/` といった共有名前空間にパッケージのアーカイブを展開し、アーカイブの書き込みと展開後にのみパッケージの整合性を検証します。この設計上の欠陥により、あるパッケージが同じ名前空間内の別のパッケージの信頼されたリソースを上書きでき、その変更は通常の NLTK API を通じて即座に有効になります。この問題はインタープリターの再起動後も持続し、機械学習のパイプラインや再現性に敏感な環境などの下流ワークフローに影響を与える可能性があります。 cpe:/a:nltk:nltk https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-032274.html Common Vulnerabilities and Exposures (CVE) CVE-2026-12261 https://www.cve.org/CVERecord?id=CVE-2026-12261 National Vulnerability Database (NVD) CVE-2026-12261 https://nvd.nist.gov/vuln/detail/CVE-2026-12261 JVNDB CWE-284 https://cwe.mitre.org/data/definitions/284.html 2026-09-07T14:11:38+09:00 2026-09-07T14:11:38+09:00