CVE-2026-14535

Nome do Software Vulnerável e Versões Afetadas Trail of Bits fickling versões anteriores a 0.1.12

Descrição Existe um problema onde a passagem de análise UnsafeImportsML chama incondicionalmente a função AnalysisContext.shorten code(node) em cada nó de importação. Esta ação preenche um conjunto compartilhado AnalysisContext.reported shortened code, o que faz com que a passagem de análise MLAllowlist subsequente ignore completamente suas verificações de lista de permissões. Consequentemente, a passagem MLAllowlist torna-se código morto e falha em identificar importações de módulos fora do ecossistema ML conhecido como seguro. Isso permite que módulos da biblioteca padrão não presentes na lista de negação UNSAFE IMPORTS sejam invocados via desserialização de pickle quando a API fickling.load() chama check safety(), que retorna incorretamente um veredito LIKELY SAFE, levando à execução do payload.

Recomendações Atualize para uma versão posterior a 0.1.11.