CVE-2026-33139

PySpector, modern Python geliştirme iş akışları için tasarlanmış bir statik analiz güvenlik testi (SAST) çerçevesidir. PySpector 0.1.6 ve önceki sürümler, eklenti sistemindeki bir güvenlik doğrulaması atlatma sorunundan etkilenmektedir. plugin_system.py dosyasındaki validate_plugin_code() fonksiyonu, bir eklentiye güvenilmeden ve yürütülmeden önce tehlikeli API çağrılarını engellemek için statik AST analizi gerçekleştirir. Ancak, dahili resolve_name() yardımcı fonksiyonu yalnızca ast.Name ve ast.Attribute düğüm türlerini işlemekte ve diğer tüm durumlar için None döndürmektedir. Bir eklenti, getattr() aracılığıyla dolaylı fonksiyon çağrıları kullandığında (getattr(os, 'system') gibi), dış çağrının func düğümü ast.Call türünde olur; bu da resolve_name() fonksiyonunun None döndürmesine ve güvenlik kontrolünün sessizce atlanmasına neden olur. Eklenti, güven iş akışını hatalı bir şekilde geçer ve yüklendiğinde kullanıcının makinesinde rastgele sistem komutları çalıştırır. Bu sorun 0.1.7 sürümünde düzeltilmiştir.