CVE-2026-14534

Trail of Bits fickling-in 0.1.10 daxil olmaqla bütün versiyalarında Python standart kitabxanasının _posixsubprocess, site və atexit modulları UNSAFE_IMPORTS qara siyahısına (fickle.py) daxil edilməyib. Bu modulların qara siyahıda olmaması səbəbindən, fickling-in check_safety() funksiyası _posixsubprocess.fork_exec (istənilən binar faylları icra edə bilən C-səviyyəli proses yaradıcısı), site.execsitecustomize (istənilən sayt fərdiləşdirmə kodunu icra edir) və atexit._run_exitfuncs (qeydiyyatdan keçmiş bütün çıxış idarəedici callback-lərini tetikləyir) kimi təhlükəli funksiyaları çağıran pickle yükləri üçün heç bir tapıntı olmadan LIKELY_SAFE nəticəsini qaytarır. fickling.load() API-si, aşkar təhlükəsizlik qapısı kimi check_safety()-i pickle.loads() ilə zəncirləyir; LIKELY_SAFE hökmü yükün deserializasiya olunmasına və icra edilməsinə səbəb olur. Bu, CVE-2026-22607 (cProfile), CVE-2025-67748 (pty) və CVE-2025-67747 (marshal/types) ilə eyni kök səbəbi paylaşır. OvertlyBadEvals bu modullar standart kitabxana importları olduğu üçün onları qeyd etmir. UnsafeImports isə onlar qara siyahıda olmadığı üçün onları qeyd etmir. UnusedVariables evristikası SETITEMS opcode nümunəsi tərəfindən sıradan çıxarılır.