CVE-2026-33139 in PySpector
Sumário
de VulDB • 23/05/2026
O PySpector é um framework de testes de segurança de análise estática (SAST) projetado para fluxos de trabalho modernos de desenvolvimento em Python. As versões do PySpector 0.1.6 e anteriores são afetadas por uma violação da validação de segurança no sistema de plugins. A função `validate_plugin_code()` em `plugin_system.py` realiza análise estática de AST para bloquear chamadas de API perigosas antes que um plugin seja confiável e executado. No entanto, o auxiliar interno `resolve_name()` lida apenas com os tipos de nós `ast.Name` e `ast.Attribute`, retornando `None` para todos os outros. Quando um plugin usa chamadas de função indiretas via `getattr()` (como `getattr(os, 'system')`), o nó `func` da chamada externa é do tipo `ast.Call`, fazendo com que `resolve_name()` retorne `None` e a verificação de segurança seja silenciosamente ignorada. O plugin passa incorretamente pelo fluxo de confiança e executa comandos de sistema arbitrários na máquina do usuário quando carregado. Este problema foi corrigido na versão 0.1.7.
If you want to get best quality of vulnerability data, you may have to visit VulDB.