There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - NLTK before 3.10.0 (affected versions <=3.9.4) contains an unsafe pickle deserialization vulnerability in
    the TransitionParser.parse() method (nltk/parse/transitionparser.py). The method calls pickle_load() with
    the default restricted=False, routing deserialization through WarningUnpickler, which does not override
    find_class() and therefore permits arbitrary class resolution. When an application loads an attacker-
    crafted model file, embedded pickle gadget chains execute arbitrary Python code with the privileges of the
    user running the application. NLTK provides a RestrictedUnpickler for safe deserialization, but it is not
    used by production code paths. Fixed in 3.10.0. (CVE-2026-78683)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 之前 3.10.0 的 NLTK （受影響的版本 <=3.9.4） 在 TransitionParser.parse（） 方法 （nltk/parse/transitionparser.py） 中包含一個不安全的 pickle 還原序列化弱點。此方法以預設的 restricted=False 呼叫 pickle_load（），透過 WarningUnpickler 路由反序列化，這不會覆蓋 find_class（），因此允許任意類別解析。當應用程式載入攻擊者特製的模型檔案時，內嵌的 pickle 小工具鏈會以執行應用程式的使用者權限執行任意 Python 程式碼。NLTK 提供 RestrictedUnpickler 進行安全的還原序列化，但生產程式碼路徑不會使用它。已在 3.10.0 版中修正。(CVE-2026-78683)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前（受影响版本 <=3.9.4） 的 3.10.0 NLTK 在 TransitionParser.parse（） 方法 （nltk/parse/transitionparser.py） 中包含一个不安全的 pickle 反序列化漏洞。此方法以默认 restricted=False 调用 pickle_load（），通过 WarningUnpickler 进行反序列化，不会替代 find_class（），因此允许任意类解析。当应用程序加载攻击者构建的模型文件时，嵌入的 pickle 小工具链会以运行该应用程序的用户的权限执行任意 Python 代码。NLTK 提供用于安全反序列化的 RestrictedUnpickler，但生产代码路径不会使用该程序。已在 3.10.0 版中修复。(CVE-2026-78683)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.10.0 より前の NLTK(影響を受けるバージョン <=3.9.4)には、TransitionParser.parse() メソッド(nltk/parse/transitionparser.py)に安全でない pickle 逆シリアル化の脆弱性が含まれています。このメソッドは、デフォルトの restricted=False で pickle_load() を呼び出し、WarningUnpickler を通じて逆シリアル化をルーティングします。WarningUnpickler は find_class() をオーバーライドしないため、任意のクラス解決を許可します。アプリケーションが攻撃者が細工したモデルファイルを読み込むとき、埋め込まれたpickleガジェットチェーンが、アプリケーションを実行しているユーザーの権限で任意のPythonコードを実行します。NLTKは安全な逆シリアル化のためにRestrictedUnpicklerを提供しますが、実稼働コードパスでは使用されません。3.10.0 で修正されました。(CVE-2026-78683)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - NLTK before 3.10.0 (affected versions <=3.9.4) contains an unsafe pickle deserialization vulnerability in     the TransitionParser.parse() method (nltk/parse/transitionparser.py). The method calls pickle_load() with     the default restricted=False, routing deserialization through WarningUnpickler, which does not override     find_class() and therefore permits arbitrary class resolution. When an application loads an attacker-     crafted model file, embedded pickle gadget chains execute arbitrary Python code with the privileges of the     user running the application. NLTK provides a RestrictedUnpickler for safe deserialization, but it is not     used by production code paths. Fixed in 3.10.0. (CVE-2026-78683)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
459929	Echo: nltk: security update to 3.10.0	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/5	critical
459929	Echo: nltk: security update to 3.10.0	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/5	critical
339444	Linux Distros 未修補弱點：CVE-2026-78683	Nessus	Misc.	2026/8/25	2026/9/4	critical
339444	Linux Distros 未修补的漏洞：CVE-2026-78683	Nessus	Misc.	2026/8/25	2026/9/4	critical
339444	Linux Distros のパッチ未適用の脆弱性: CVE-2026-78683	Nessus	Misc.	2026/8/25	2026/9/4	critical
339444	Linux Distros Unpatched Vulnerability : CVE-2026-78683	Nessus	Misc.	2026/8/25	2026/9/4	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical