Qué es y cómo funciona
La vulnerabilidad CVE-2026-128134 afecta a NLTK (Natural Language Toolkit), un conjunto de módulos de código abierto para Python usado en Procesamiento de Lenguaje Natural. La función nltk.parse.dependencygraph.dot2img busca el ejecutable dot de Graphviz a través de la variable de entorno PATH del sistema, pero luego lo invoca directamente sin pasar por las rutinas de seguridad internas (spawn_trusted, resolve_trusted_executable). Esto omite las validaciones de propiedad y permisos del archivo, así como la sanitización del entorno de ejecución.
Un atacante local con permisos de escritura en cualquier directorio listado en el PATH de un usuario víctima puede plantar o reemplazar un binario malicioso llamado dot. Cuando la víctima ejecuta funciones como dot2img directamente o cuando DependencyGraph.repr_svg renderiza un gráfico, se ejecutará el código del atacante con los privilegios del usuario afectado.
Productos y versiones afectadas
Esta vulnerabilidad afecta a todas las versiones de NLTK anteriores a la 3.10.4.
Impacto y probabilidad de explotación
El impacto es la ejecución de código arbitrario en el contexto del usuario que ejecuta el script de Python. La vulnerabilidad requiere acceso local y la capacidad de escribir en un directorio del PATH, lo que la clasifica como un riesgo de escalada de privilegios local. El CVSS es 7.8 (Alto). Según los datos disponibles, INCIBE-CERT la clasifica con severidad "P" y actualmente no hay hosts expuestos detectados en Shodan.
Qué hacer
La solución es actualizar la biblioteca NLTK a la versión 3.10.4 o superior, donde el problema ha sido corregido. Los desarrolladores deben revisar y actualizar sus entornos de Python que utilicen esta librería.
| CVE | CVE-2026-128134 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.8 / 10 |
| CWE | CWE-426, CWE-427 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |