CVE-2026-14534

Trail of Bits fickling 0.1.10 ve önceki sürümleri, Python standart kütüphanesi modülleri olan _posixsubprocess, site ve atexit'i UNSAFE_IMPORTS engelleme listesine (fickle.py) dahil etmemektedir. Bu modüllerin engelleme listesinde bulunmaması nedeniyle, fickling'in check_safety() fonksiyonu; _posixsubprocess.fork_exec (rastgele ikili dosyaları çalıştırabilen C seviyesinde süreç başlatıcı), site.execsitecustomize (rastgele site özelleştirme kodu yürütür) ve atexit._run_exitfuncs (kayıtlı tüm çıkış işleyici geri çağırmalarını tetikler) dahil olmak üzere tehlikeli fonksiyonları çağıran pickle yükleri için sıfır bulgu ile LIKELY_SAFE döndürmektedir. fickling.load() API'si, açık bir güvenlik kapısı olarak check_safety()'yi pickle.loads()'a bağlar; LIKELY_SAFE kararı, yükün serileştirmesinin çözülmesine ve yürütülmesine neden olur. Bu durum, CVE-2026-22607 (cProfile), CVE-2025-67748 (pty) ve CVE-2025-67747 (marshal/types) ile aynı kök nedene sahiptir. OvertlyBadEvals bu modülleri standart kütüphane içe aktarmaları oldukları için işaretlemez. UnsafeImports ise engelleme listesinde olmadıkları için bunları işaretlemez. UnusedVariables sezgiseli, SETITEMS opcode deseni tarafından etkisiz hale getirilir.