CVE-2026-33139 in PySpector
Zusammenfassung
von VulDB • 23.05.2026
PySpector ist ein Framework für statische Sicherheitsanalysen (SAST), das für moderne Python-Entwicklungswerkflows entwickelt wurde. PySpector in den Versionen 0.1.6 und älter sind von einer Umgehung der Sicherheitsvalidierung im Plugin-System betroffen. Die Funktion `validate_plugin_code()` in `plugin_system.py` führt eine statische AST-Analyse durch, um gefährliche API-Aufrufe zu blockieren, bevor ein Plugin vertrauenswürdig ist und ausgeführt wird. Die interne Hilfsfunktion `resolve_name()` verarbeitet jedoch nur Knotentypen vom Typ `ast.Name` und `ast.Attribute` und gibt für alle anderen Typen `None` zurück. Wenn ein Plugin indirekte Funktionsaufrufe über `getattr()` verwendet (z. B. `getattr(os, 'system')`), ist der `func`-Knoten des äußeren Aufrufs vom Typ `ast.Call`, wodurch `resolve_name()` `None` zurückgibt und die Sicherheitsprüfung stillschweigend übersprungen wird. Das Plugin durchläuft den Vertrauensarbeitsablauf fälschlicherweise erfolgreich und führt willkürliche Systembefehle auf dem Rechner des Benutzers aus, wenn es geladen wird. Dieses Problem wurde in Version 0.1.7 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.