CVE-2026-33139

PySpector müasir Python tərtibat iş axışları üçün hazırlanmış statik analiz təhlükəsizlik testi (SAST) freymvorkudur. PySpector-un 0.1.6 və daha öncəki versiyaları plagin sistemində təhlükəsizlik validasiyasından yan keçmə zəifliyindən təsirlənir. plugin_system.py faylındakı validate_plugin_code() funksiyası, bir plagin etibarlı sayılmamış və icra edilməmişdən əvvəl təhlükəli API çağırışlarını bloklamaq üçün statik AST analizi həyata keçirir. Lakin daxili resolve_name() köməkçi funksiyası yalnız ast.Name və ast.Attribute düyün növlərini emal edir və digərləri üçün None qaytarır. Plagin getattr() vasitəsilə dolayı funksiya çağırışlarından istifadə etdikdə (məsələn, getattr(os, 'system')), xarici çağırışın func düyünü ast.Call tipində olur ki, bu da resolve_name()-in None qaytarmasına və təhlükəsizlik yoxlamasının səssiz şəkildə ötürülməsinə səbəb olur. Plagin yanlış şəkildə etibar iş axışından keçir və yükləndiyi zaman istifadəçinin maşınında ixtiyari sistem əmrlərini icra edir. Bu problem 0.1.7 versiyasında aradan qaldırılmışdır.