NLTK 3.8.1 及更早版本存在高危漏洞 CVE-2024-39705，可导致远程代码执行

自然语言工具包（NLTK）的一个关键安全漏洞已被披露，该漏洞允许攻击者在特定条件下远程执行任意代码。根据美国国家标准与技术研究院（NIST）国家漏洞数据库（NVD）的条目 CVE-2024-39705，NLTK 3.8.1 及之前的所有版本均受影响。当用户通过 NLTK 集成的数据包下载功能下载并加载包含恶意序列化（pickled）Python 代码的不可信数据包时，攻击者便可利用此漏洞。具体受影响的模块包括 `averaged_perceptron_tagger` 和 `punkt` 等常用组件。

该漏洞的通用漏洞评分系统（CVSS）4.0 版评分为 7.5 分（高危级别）。其攻击向量为网络，攻击复杂度较高，但攻击前提是用户需交互（例如下载数据包），且无需任何权限。该漏洞对机密性、完整性和可用性均构成高影响。依赖 NLTK 进行文本处理、词性标注或分词的应用程序，如果其数据源不受完全信任，则面临潜在风险。

此安全更新旨在将依赖项从存在漏洞的 3.6.6 版本升级至已修复的 3.9.4 版本。开发团队必须立即评估其项目对 NLTK 的使用情况，特别是是否调用了 `nltk.download()` 功能。对于无法立即升级的系统，缓解措施包括确保仅从官方或受信任的源下载数据包，或禁用自动下载功能。另一个相关漏洞 CVE-2025-14009 的细节虽未完全展开，但进一步凸显了对该库进行持续安全维护的必要性。